JVN#32415420: 私本管理 Plus GOOUT における複数の脆弱性

私本管理 Plus GOOUT には、複数の脆弱性が存在します。

開発者：EKAKIN

届出のあったソフトウエア製品名およびバージョン：私本管理 Plus GOOUT Ver1.5.8 および Ver2.2.10

EKAKIN が提供する私本管理 Plus GOOUT は、私本管理 Plus のデータを外出先でも閲覧できるようにする CGI です。
私本管理 Plus GOOUT には、入力パラメータのチェック不備に起因した、任意のファイルに対するアクセス (読み込みおよび書き込み) が可能な次の脆弱性が存在します。

ディレクトリトラバーサル (CWE-22) - CVE-2020-5554
任意のファイルを操作される脆弱性 (CWE-20) - CVE-2020-5555

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

遠隔の第三者によって、当該製品が設置されているウェブサーバ上の任意のファイルに対して、読み込みおよび書き込みが行われる可能性があります - CVE-2020-5554
遠隔の第三者によって、当該製品が設置されているディレクトリと同一ディレクトリのファイルに対して、読み込みおよび書き込みが行われる可能性があります - CVE-2020-5555

私本管理 Plus GOOUT Ver1.5.8、Ver2.2.10 の使用中止を検討してください
製品開発者と連絡が取れないため、本脆弱性の対策状況は不明です。

なし

この案件は、2020年1月16日に開催された公表判定委員会による判定にて、平成29年経済産業省告示第19号および、情報セキュリティ早期警戒パートナーシップガイドラインにおける、次のすべての条件を満たすことを確認したため、JVN で公表することが適当と判定されました。IPA は、その判定を踏まえ、脆弱性情報を公表すると判断しました。

当該案件が調整不能であること
製品開発者への連絡方法として、以下の連絡を実施したが一定期間 (6カ月以上) 応答がないため、社会通念上調整不能であると判断。

- メールでの連絡 (2013/9/19～2014/03/14：4回) に対して応答が無い
- 「連絡不能開発者一覧（開発者名）」の連絡よびかけ (2014/03/20) に対して応答が無い
- 「連絡不能開発者一覧（補足情報）」の情報提供依頼 (2014/06/27) に対して応答が無い
- メールでの判定手続きの案内の連絡 (2019/12/18) に対して応答が無い

脆弱性の存在が認められると判断できること
当該ソフトウエア製品は、サーバ内の任意のファイルが閲覧されることから (※)、機密性が侵害される。このため、当該ソフトウエア製品に脆弱性が存在すると判断。
※ 末尾に記載の「検証情報」を参照のこと。
IPA が公表しない限り、当該脆弱性情報を知り得ない製品利用者がいるおそれがあること
製品開発者による脆弱性対策情報は公表されていない、かつ製品開発者が全ての製品利用者を把握していることを確認できないため、脆弱性情報を知り得ない製品利用者がいるおそれがあると判断。

製品開発者や製品利用者の状況等を総合的に勘案して、公表が適当でないと判断する理由・事情がないこと
製品開発者の取組みや製品利用者の状況を鑑みて、公表によって社会的混乱を招くなど公表することが適切でないと判断する明確な理由・事情がないと判断。

CVSS v3 CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

基本値: 7.3

攻撃元区分(AV)	物理 (P)	ローカル (L)	隣接 (A)	ネットワーク (N)
攻撃条件の複雑さ(AC)	高 (H)	低 (L)
必要な特権レベル(PR)	高 (H)	低 (L)	不要 (N)
ユーザ関与レベル(UI)	要 (R)	不要 (N)
スコープ(S)	変更なし (U)	変更あり (C)
機密性への影響(C)	なし (N)	低 (L)	高 (H)
完全性への影響(I)	なし (N)	低 (L)	高 (H)
可用性への影響(A)	なし (N)	低 (L)	高 (H)

CVSS v2 AV:N/AC:L/Au:N/C:P/I:P/A:P

基本値: 7.5

攻撃元区分(AV)	ローカル (L)	隣接 (A)	ネットワーク (N)
攻撃条件の複雑さ(AC)	高 (H)	中 (M)	低 (L)
攻撃前の認証要否(Au)	複数 (M)	単一 (S)	不要 (N)
機密性への影響(C)	なし (N)	部分的 (P)	全面的 (C)
完全性への影響(I)	なし (N)	部分的 (P)	全面的 (C)
可用性への影響(A)	なし (N)	部分的 (P)	全面的 (C)

IPA にて、届出で提供された情報をもとに、脆弱性の再現を確認しました。

実施日
・2019年10月16日

検証環境（サーバ・製品バージョン1.5.8）
・CentOS Linux 7.6.1810
・Apache 2.4.16
・PHP 5.4.16
・私本管理 Plus GOOUT Ver1.5.8

検証環境（サーバ・製品バージョン2.2.10）
・CentOS Linux 7.6.1810
・Apache 2.4.16
・PHP 5.4.16
・私本管理 Plus GOOUT Ver2.2.10

検証環境（サーバ・製品バージョン2.3.14）
・CentOS Linux 7.6.1810
・Apache 2.4.16
・PHP 5.4.16
・私本管理 Plus GOOUT Ver2.3.14

検証環境（クライアント）
・Microsoft Windows 10 Pro (64-bit) 1903/18362.418
・Microsoft Internet Explorer11 11.0.155

検証結果
・当該ソフトウエア製品が動作するサーバ上で、任意のファイルの閲覧ができることを確認
　(私本管理 Plus GOOUT Ver1.5.8)
・当該ソフトウエア製品が動作するサーバ上で、当該ソフトウエア製品が設置されているディレクトリと同一ディレクトリのファイルの閲覧ができることを確認
　(私本管理 Plus GOOUT Ver2.2.10)
・当該ソフトウエア製品が動作するサーバ上で、任意のファイルの閲覧および、当該ソフトウエア製品が設置されているディレクトリと同一ディレクトリのファイルの閲覧が再現しないことを確認
　(私本管理 Plus GOOUT Ver2.3.14)

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE	CVE-2020-5554
	CVE-2020-5555
JVN iPedia	JVNDB-2020-000902

2020/03/24: 【JPCERT/CCからの補足情報】の 3. および 4. の記述を修正しました

JVN#32415420 私本管理 Plus GOOUT における複数の脆弱性

JVN#32415420
私本管理 Plus GOOUT における複数の脆弱性