※このお知らせでは WESEEK のホームページで公開している情報を転載しています

• WESEEK HP 上で公開している情報はこちら

概要

弊社が公開している GROWI システム において、複数の脆弱性が判明いたしました。

以下の影響があります。

• サービス運⽤妨害 (DoS) 攻撃を受ける可能性があります。
• 細⼯されたファイルをアップロードされた場合、データが改ざんされる可能性があります。

以下のバージョンが影響を受けます。

• GROWI v4.2.3 よりも前のバージョン (v4.2.x)
• GROWI v4.1.12 よりも前のバージョン (v4.1.x)

v4.2.3 並びに、v4.1.12 にて修正対応が完了しております。
該当するバージョンをご利用中の方はアップデートをお願いいたします。

セキュリティ脆弱性の詳細

CVE, JVN が公開している以下のセキュリティアドバイザリ

• JVN#94169589

対策

• v4.2.x を使用しているユーザーは v4.2.3 以降のバージョンにアップデートしてください。
• v4.0.x および v4.1.x を使用しているユーザーは v4.1.12 以降のバージョンにアップデートしてください。

v3系およびそれ以前のバージョンはすでにサポートを終了しており対策版をリリースいたしません。

謝辞

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。

• CVE-2020-5682
  • 報告者: 情報科学専門学校 / 株式会社 Flatt Security 齋藤徳秀 氏
• CVE-2020-5683
  • 報告者: 株式会社サイバーエージェント 高橋大輔 氏

ご報告いただきました方、ならびにご対応いただきました JPCERT/CC の関係者、皆様に感謝申し上げます。

関連ページ

• GROWI.org
• デモサイト
• GROWI Docs
• GitHub