ホーム　＞　製品サポート　＞　セキュリティ脆弱性情報

サポート情報

JVN#80527854 ファイルめがねのセキュリティ脆弱性情報

ファイルめがねにおいて、複数の脆弱性が存在することが判明しました。

概要

サーバサイドリクエストフォージェリ

ファイルめがね Ver.3.0.0.0以降のバージョンにサーバサイドリクエストフォージェリの脆弱性が存在することが判明しました。
この脆弱性を悪用された場合、悪意ある第三者の攻撃により、バックエンドWeb APIに対し任意のリクエストが実行されてしまう危険性があります。
この問題の影響を受けるファイルめがねのバージョンを以下に示しますので、後述の対策の実施をお願いいたします。

スプーフィングによる認証回避

ファイルめがね Ver.1.0.0.0以降のバージョンに認証不備の脆弱性が存在することが判明しました。
この脆弱性を悪用された場合、ユーザを詐称して本来参照できないファイル内容の参照が可能となります。
この問題の影響を受けるファイルめがねのバージョンを以下に示しますので、後述の対策の実施をお願いいたします。

該当製品の確認方法

サーバサイドリクエストフォージェリ

製品名称　　　　　ファイルめがね
該当バージョン　　Ver.3.0.0.0以降のすべてのバージョン

使用しているバージョンは、ファイルめがね（検索画面または管理ツール）画面下部に表示されております。

スプーフィングによる認証回避

製品名称　　　　　ファイルめがね
該当バージョン　　Ver.1.0.0.0以降のすべてのバージョン

使用しているバージョンは、ファイルめがね（検索画面または管理ツール）画面下部に表示されております。

脆弱性の説明

サーバサイドリクエストフォージェリ

検索キーワードのサジェスト機能にサーバサイドリクエストフォージェリの脆弱性が存在するため、バックエンドWebAPIへの任意のリクエストが可能でした。

スプーフィングによる認証回避

検索画面でのWindows認証で、Windows認証後はリクエストのみでログイン処理が完了してしまうため、任意のユーザ情報を設定してユーザを詐称することが可能でした。

脆弱性がもたらす脅威

サーバサイドリクエストフォージェリ

任意のバックエンドWebAPIを実行することで、サービスの再起動などが引き起こせる可能性があります。

スプーフィングによる認証回避

ユーザ詐称により、本来参照できないファイル内容の参照が可能となります。

対策方法

ファイルめがね Ver.3.4.0.0へのバージョンアップをお願いいたします。
Ver.3.4.0.0 へのバージョンアップをご検討されるお客様はSAVVYユーザーサポートまでご連絡をお願いいたします。
TEL ：03-5690-7735
MAIL：savvyusp@info-brdg.co.jp

関連情報

JVN#80527854　ファイルめがねにおける複数の脆弱性（外部サイト）

謝辞

この脆弱性情報は、下記の方から JPCERT/CC に報告いただきました。
　　GMOサイバーセキュリティ byイエラエ株式会社　安里 眞夢 氏

更新履歴

公開日　　：2025年1月31日
最終更新日：2025年2月13日

連絡先

SAVVYユーザーサポート
TEL ：03-5690-7735
MAIL：savvyusp@info-brdg.co.jp

PageTop