JVNVU#91417143
GigaCC OFFICE における複数の脆弱性

日本ワムネット株式会社が提供する GigaCC OFFICE には、複数の脆弱性が存在します。

• GigaCC OFFICE ver.2.3 およびそれ以前

日本ワムネット株式会社が提供する GigaCC OFFICE は、オンラインストレージ機能を提供するソフトウェアです。GigaCC OFFICE には、次の複数の脆弱性が存在します。

• メール送信処理に使用される Apache Velocity テンプレートエンジンの設定不備 - CVE-2016-7844

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:L	基本値: 5.5
  CVSS v2	AV:N/AC:M/Au:S/C:P/I:P/A:P	基本値: 6.0

• Apache Struts 1 に起因するメモリ上のコンポーネントを操作可能な脆弱性 - CVE-2016-1181

  CVSS v3	CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H	基本値: 8.1
  CVSS v2	AV:N/AC:M/Au:N/C:P/I:P/A:P	基本値: 6.8

• 任意のファイルをアップロード可能な脆弱性 - CVE-2016-7845

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:L	基本値: 5.4
  CVSS v2	AV:N/AC:L/Au:S/C:P/I:N/A:P	基本値: 5.5

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 細工されたメールテンプレートを使用してメール送信処理を行うことで、サーバ上で任意の OS コマンドを実行される - CVE-2016-7844
• 細工されたリクエストを処理することで、サービス運用妨害 (DoS) 攻撃を受ける - CVE-2016-1181
• 当該製品のユーザに任意のファイルをプロフィール画像としてアップロードされ、管理者の意図しないファイル授受が行われる  - CVE-2016-7845

CVE-2016-7844 および CVE-2016-1181 への対策：
最新版にアップデートし、パッチを適用する
開発者が提供する情報をもとに、GigaCC OFFICE ver.2.3 にアップデートした上で、対応したパッチを適用してください。
詳しくは、開発者が提供する情報をご確認ください。

CVE-2016-7845 への対策：
最新版にアップデートしパッチを適用したうえで、修正モジュールを適用する
開発者が提供する情報をもとに、GigaCC OFFICEを Ver.2.4 にアップデートし、パッチ1 を適用したうえで、修正モジュールを適用してください。