公開日：2017/02/10　最終更新日：2017/02/10

JVNVU#98953608
Accellion FTP server に複数の脆弱性

概要

Accellion FTP server には、情報漏えいおよびクロスサイトスクリプティングの脆弱性が存在します。

影響を受けるシステム

  • Accellion FTP server version FTA_9_12_220 より前のバージョン

詳細情報

リクエストに対するレスポンス内容の違いに起因する情報漏えい (CWE-204) - CVE-2016-9499
Accellion FTP server は、ユーザ名が無効かどうかを調べるための API を提供しています。この API にアクセス可能な攻撃者は、有効なユーザ名を特定し収集することが可能です。

クロスサイトスクリプティング (CWE-80) - CVE-2016-9500
Accellion FTP server は、Accusoft Prizm Content という Flash コンポーネントを使用しています。このコンポーネントの複数のパラメータ (customTabCategoryName, customButton1Image) の処理に、クロスサイトスクリプティングの脆弱性が存在します。

さらに詳しい情報は、Qualys のセキュリティアドバイザリ (PDF) をご確認ください。

想定される影響

遠隔の第三者に当該製品で使用されているユーザ名を収集されたり、ユーザのウェブブラウザ上で任意のスクリプトを実行される可能性があります。

対策方法

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。

2017年1月31日にリリースされた version FTA_9_12_220 では両方の脆弱性が修正されています。
なお、CVE-2016-9500 は 2016年11月29日にリリースされた version FTA_9_12_160 で修正されています。

ベンダ情報

参考情報

  1. CERT/CC Vulnerability Note VU#745607
    Accellion FTP server contains information exposure and cross-site scripting vulnerabilities
  2. Qualys Security Advisory QSA-2016-12-06
    Accellion FTP Multiple Security Vulnerabilities

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

CVSS v3 CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
基本値: 5.3
CVSS v2 AV:N/AC:L/Au:N/C:P/I:N/A:N
基本値: 5.0

分析結果のコメント

この CVSS は CVE-2016-9499 について評価したものです。

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2016-9499
CVE-2016-9500
JVN iPedia