FineReport 9.0に認証不要の任意ファイル書込み、悪用の兆候
Summary
帳票ツール FineReport 9.0 に、ログインなしで外部からサーバーへ任意のファイルを書き込める弱点があり、遠隔操作につながるおそれがあります。実際の悪用の兆候は 2023年10月14日 に Shadowserver Foundation が最初に観測したと報告されています。FineReport 9.0 を使っている組織は、インターネットから到達できるかを確認し、到達できる場合は遮断と侵害の有無の調査を優先してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
帳票ツール FineReport 9.0 に、ログインなしで外部からサーバーへ任意のファイルを書き込める弱点があり、遠隔操作につながるおそれがあります。実際の悪用の兆候は 2023年10月14日 に Shadowserver Foundation が最初に観測したと報告されています。FineReport 9.0 を使っている組織は、インターネットから到達できるかを確認し、到達できる場合は遮断と侵害の有無の調査を優先してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| FanRuan | FineReport | — | — |
Original description The description as published by the source.
FineReport 9.0 contains a path traversal vulnerability in the /WebReport/ReportServer design_save_svg operation that allows unauthenticated attackers to write arbitrary files via the filePath parameter. Attackers can send a POST request with directory traversal sequences in filePath and a CONTENT payload to write a JSP webshell and achieve remote code execution. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-14.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web github.com
- web github.com
- web github.com
- web fanruan.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com