JVNVU#99249829
HP ArcSight アプライアンス製品に複数の脆弱性

HP ArcSight Enterprise Security Manager (ESM) および HP ArcSight Logger には、複数の脆弱性が存在します。

• HP ArcSight Enterprise Security Manager (ESM) v6.8c より前のバージョン
• HP ArcSight Logger v6.0P1 より前のバージョン
  

危険なタイプのファイルの無制限アップロード (CWE-434)
HP ArcSight Logger のインポートファイルをアップロードする機能がファイル名を無害化しないため、当該製品にログイン可能なユーザによって、Document Root 内に任意のファイルをアップロードされる可能性があります。結果として、サーバ上でアプリケーションの権限で任意のコードを実行される可能性があります。

不適切な認証 (CWE-285)
HP ArcSight Logger では、すべてのユーザが Configuration->Input、Configuration->Search および Configuration->Content Management (Import/Export) 機能にアクセス可能です。結果として、当該製品にログイン可能なユーザによって、ArcSight のソースやパーサを変更される可能性があります。

クロスサイトスクリプティング (CWE-79)
HP ArcSight ESM にはクロスサイトスクリプティングの脆弱性が存在します。結果として、ユーザの権限に応じてシステムのルールやリソースを妨害・変更される可能性があります。

クロスサイトリクエストフォージェリ (CWE-352)
HP ArcSight ESM にはクロスサイトリクエストフォージェリの脆弱性が存在します。結果として、resource id を知る第三者によって、ユーザの権限に応じてシステムのルールやリソースを変更される可能性があります。

XML 外部エンティティ参照 (XXE) の不適切な制限 (CWE-611)
HP ArcSight Logger には Configuration->Content Management->Import セクション内の XML パーサに、XML 外部実体参照 (XXE) に関する脆弱性が存在します。結果として、サーバ上でアプリケーションの権限で任意のスクリプトを実行される可能性があります。

当該製品にログイン可能なユーザによって、システムのリソースを妨害・変更されたり、サーバ上で任意のスクリプトを実行されたりする可能性があります。

パッチを適用する
開発者が提供するセキュリティアドバイザリをもとに、対応するパッチを適用してください。

開発者によると、本脆弱性は 2015年1月21日に修正済みとのことです。