概要

弊社が公開している GROWI システム (v3.2.3 以前) において、クロスサイトスクリプティングの脆弱性を誘発するバグが存在することを確認いたしました。

このバグにより、誤った設定のまま GROWI システムが運用される可能性が生じます。 その場合 GROWI が出力するページをブラウザで閲覧した際に、埋め込まれた JavaScript が実行される可能性があります。

最新バージョンにて修正対応が完了しておりますので、該当するバージョンをご利用中の方はアップデートをお願いいたします。 また、v3.1.12 以降のバージョンをご利用の場合は、以下に記載するワークアラウンドでも対策が可能です。

セキュリティ脆弱性の詳細

CVE, JVN が公開している以下のセキュリティアドバイザリ

• JVN#96493183

対策

最新版へのアップグレードによる対策

• GROWI を v3.2.4 以降のバージョンにアップデートしてください
• なお、本脆弱性の修正とは別に、v3.2.5 では「アドレスバーに入力したURLを New Page Modal で処理する際にクロスサイトスクリプティングが可能になる脆弱性」が修正されています

ワークアラウンドによる対策

• v3.1.12 以降のバージョンをご利用の場合に有効です
• 管理者アカウントでログイン後、以下の操作を行ってください
  1. マークダウン設定画面(/admin/markdown)にアクセス
  2. 「XSSを抑制する」オプションを一旦OFFに切り替え、設定を保存
  3. 「XSSを抑制する」オプションを再びONに切り替え、「おすすめ設定」を選択して設定を保存

アップデート版の入手場所

• GitHub
• Docker Hub

謝辞

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。

• CVE-2018-0698, CVE-2018-16205
  • 報告者: 米内 貴志 (Yoneuchi Takashi) 氏

ご報告いただきました方、ならびにご対応いただきました JPCERT/CC の関係者、皆様に感謝申し上げます。

関連ページ

• GROWI.org
• デモサイト
• GROWI Docs
• GitHub