OrbiTeam BSCW Serverで認証不要のパストラバーサル、悪用を確認
概要
OrbiTeam BSCW Serverの5.2.5未満および7.4.4未満に、認証なしでサーバー上のファイルを読み取られる脆弱性があります。Shadowserver Foundationは2023年10月22日に悪用を確認しています。5.2.5以降または7.4.4以降へ更新してください。
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
OrbiTeam BSCW Serverの5.2.5未満および7.4.4未満に、認証なしでサーバー上のファイルを読み取られる脆弱性があります。Shadowserver Foundationは2023年10月22日に悪用を確認しています。5.2.5以降または7.4.4以降へ更新してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| OrbiTeam | BSCW Server |
5.0.0 以上 5.2.5 未満 7.0.0 以上 7.4.4 未満 |
5.2.5 7.4.4 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
OrbiTeam BSCW Server 5.x before 5.2.5 and 7.x before 7.4.4 contains an unauthenticated path traversal vulnerability in the style_name parameter of the theme operation. Attackers can send GET requests to /pub/bscw.cgi/?op=theme with ../ sequences in style_name to read local files such as /etc/passwd. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-22.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web packetstorm.news
- web web.archive.org
- web github.com