SHIRASAGIにおけるディレクトリトラバーサルの脆弱性（JVN#82758000）

LAC Advisory No.133

セキュリティアセスメントの山根です。

SHIRASAGI Projectが提供するCMS（Contents Management System）のSHIRASAGIに、ディレクトリトラバーサルの脆弱性が存在することを発見し、IPAへ報告しました。この脆弱性が悪用されると、サーバ上のファイルを改ざんされたり、遠隔から任意のコードを実行されたりする可能性があります。

官公庁や病院、大学、企業など、幅広いクライアントに活用されているCMSのため、利用している組織は早急な対策を行う必要があります。

影響を受けるシステム

SHIRASAGI v1.17.0 以前

解説

当該製品には、Zipファイルの展開処理におけるディレクトリトラバーサルの脆弱性（Zip Slip）^※が存在します。この脆弱性を用いることで、サーバ上のファイルの改ざんが可能です。

本脆弱性の一次的な影響は「サーバ上の任意のファイルを改ざんされる」ことであり、CVSS v3の値は4.3と低めです。
しかし、特定のファイルを改ざんすることにより任意のコード実行に繋がることを確認しており、該当のバージョンを使用している方は早急に対策を行う必要があります。

※ Zipアーカイブ展開処理を悪用する複雑な脆弱性「Zip Slip」について知っておくべきこと - Sophos Naked security | TECH+（テックプラス）

対策方法

製品開発者が提供する情報をもとに、軽減・回避策を実施してください。

SHIRASAGI におけるクロスサイト・スクリプティング脆弱性とパストラバーサル脆弱性 - SHIRASAGI公式サイト

発見者

山根 将司（デジタルイノベーション統括部 セキュリティアセスメント第二部）

公表までの経緯

本脆弱性は、情報セキュリティ早期警戒パートナーシップに基づき、ラックからIPAに報告し、JPCERT/CCによって開発者との調整が行われました。

JVN#82758000
JVNDB-2023-000088

※ 全3件の脆弱性情報が記載されていますが、そのうちの1件がラックから報告したものとなります。

CVE番号

CVE-2023-39448（https://www.cve.org/CVERecord?id=CVE-2023-39448）