公開日：2015/09/03　最終更新日：2015/09/03

JVN#13684924
BBS X102 におけるクロスサイトスクリプティングの脆弱性

概要

BBS X102 には、クロスサイトスクリプティングの脆弱性が存在します。

ベンダ情報、製品情報

開発者：ガイドパーク ドットコム

届出のあったソフトウエア製品名およびバージョン：BBS X102 Ver1.03

詳細情報

ガイドパーク ドットコムが提供する BBS X102 は、掲示板ソフトウエアです。BBS X102 には、クロスサイトスクリプティングの脆弱性が存在します。

想定される影響

ユーザのウェブブラウザ上で任意のスクリプトを実行される可能性があります。

対策方法

BBS X102 Ver1.03 の使用中止を検討してください
製品開発者と連絡が取れないため、本脆弱性の対策状況は不明です。

ベンダの見解

なし

JPCERT/CCからの補足情報

この案件は、2015年5月26日に開催された公表判定委員会による審議にて、平成26年経済産業省告示第110号および、情報セキュリティ早期警戒パートナーシップガイドラインにおける、次のすべての条件を満たすことを確認したため、JVN で公表することが適当と判定されたものです。

  1. 当該案件が連絡不能であること
    製品開発者への連絡方法として、以下の連絡を実施したが一定期間 (9カ月以上) 応答がないため、社会通念上連絡不能であると判断。

    - メールでの連絡 (2011/04/12～2011/11/16：5回) に対して応答が無い
    - 「連絡不能開発者一覧（開発者名）」の連絡よびかけ (2011/09/29) に対して応答が無い
    - 「連絡不能開発者一覧（補足情報）」の情報提供依頼 (2011/12/16) に対して応答が無い
    - メールでの審査手続きの案内の連絡 (2015/04/28) に対して応答が無い

  2. 脆弱性が存在すると判断できること
    当該ソフトウエア製品は、製品利用者のウェブブラウザ上で任意のスクリプトが実行されることから (※)、完全性が侵害される。このため、当該ソフトウエア製品に脆弱性が存在すると判断。
    ※ 末尾に記載の「検証情報」を参照のこと。

  3. 公表しない限り、当該脆弱性情報を知り得ない製品利用者がいるおそれがあること
    製品開発者が公表している利用規約等によると、当該ソフトウエア製品は複製・改変・頒布が可能であり、ダウンロードして利用可能な製品である。そのため、製品開発者が当該ソフトウエア製品の製品利用者全員を把握できず、確実に通知することは困難であり、公表しない限り当該脆弱性情報を知り得ない製品利用者がいるおそれがあると判断。

  4. 公表が不適切であると判断する理由・事情がないこと
    製品開発者の取組みや製品利用者の状況を鑑みて、公表によって社会的混乱を招くなどの公表することが不適切であると判断する明確な理由・事情がないと判断。

JPCERT/CCによる脆弱性分析結果

2015.09.03における脆弱性分析結果(CVSS Base Metrics)

CVSSとは

評価尺度 評価値 説明
攻撃元区分(AV) ローカル (L) 隣接 (A) ネットワーク (N) ネットワーク経由でリモートから攻撃可能
攻撃条件の複雑さ(AC) 高 (H) 中 (M) 低 (L) 攻撃成立に必要な条件はない
攻撃前の認証要否(Au) 複数 (M) 単一 (S) 不要 (N) 認証は不要
機密性への影響(C) なし (N) 部分的 (P) 全面的 (C) 情報は漏えいしない
完全性への影響(I) なし (N) 部分的 (P) 全面的 (C) 情報の正確さや完全さが部分的に損なわれる
可用性への影響(A) なし (N) 部分的 (P) 全面的 (C) システムの使用は阻害されない

Base Score:5.0

検証情報

IPA および JPCERT/CC にて、届出で提供された情報をもとに、脆弱性の再現を確認しました。

実施日

  • 2015年4月16日
検証環境（サーバ）
  • Debian 7.8
  • apache 2.2.22 perl 5.14.2
  • BBS X102 1.03
検証環境（クライアント）
  • Microsoft Windows 7 Professional SP1
  • Microsoft Internet Explorer 11.0.9600.16428 XSS フィルター有効
  • Google Chrome 41.0.2272.118m                XSS フィルター有効
  • Mozilla Firefox 36.0.1
  • Opera 28.0.1750.48
検証結果
  • 次のウェブブラウザで、BBS X102の複数のパラメータにおいてスクリプトが実行されることを確認
    Microsoft Internet Explorer 11.0.9600.16428 XSS フィルター有効
    Google Chrome 41.0.2272.118m                XSS フィルター有効
    Mozilla Firefox 36.0.1
    Opera 28.0.1750.48
関連文書
JPCERT 緊急報告  
JPCERT REPORT  
CERT Advisory  
CPNI Advisory  
TRnotes  
CVE CVE-2015-2985
JVN iPedia JVNDB-2015-000301