お知らせ
2020.12.14GROWISECURITY
GROWI 脆弱性対応のお知らせ (JVN#94169589)
概要
弊社が公開している GROWI システム において、複数の脆弱性が存在することが判明いたしました。
以下の影響があります。
- サービス運⽤妨害 (DoS) 攻撃を受ける可能性があります。
- 細⼯されたファイルをアップロードされた場合、データが改ざんされる可能性があります。
以下のバージョンが影響を受けます。
- GROWI v4.2.3 よりも前のバージョン (v4.2.x)
- GROWI v4.1.12 よりも前のバージョン (v4.1.x)
v4.2.3 並びに、v4.1.12 にて修正対応が完了しております。
該当するバージョンをご利用中の方はアップデートをお願いいたします。
セキュリティ脆弱性の詳細
CVE, JVN が公開している以下のセキュリティアドバイザリ
対策
- v4.2.x を使用しているユーザーは v4.2.3 以降のバージョンにアップデートしてください。
- v4.0.x および v4.1.x を使用しているユーザーは v4.1.12 以降のバージョンにアップデートしてください。
v3系およびそれ以前のバージョンはすでにサポートを終了しており対策版をリリースいたしません。
アップデート版の入手場所
謝辞
この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。
- CVE-2020-5682
- 報告者: 情報科学専門学校 / 株式会社 Flatt Security 齋藤徳秀 氏
- CVE-2020-5683
- 報告者: 株式会社サイバーエージェント 高橋大輔 氏
ご報告いただきました方、ならびにご対応いただきました JPCERT/CC の関係者、皆様に感謝申し上げます。