| 情報処理推進機構(IPA)とJPCERTコーディネーションセンター(JPCERT/CC)は16日、日本IBMのWebページ作成ソフト「ホームページ・ビルダー」に付属するCGIサンプルプログラムの一部に、OSコマンドインジェクションの脆弱性があると発表した。
 
 対象となるバージョンは、ホームページ・ビルダー 11/10/10ライト/V9/V9ライト/V8
 /V8ライト/V7/V7ライト/V6.5 with HotMedia/V6.5 with HotmMedia ライト/V6/V6ライト/
 2001/2000/V3/V2 バリューパック。これらのサンプルフォルダに含まれるCGIサンプルプログラムの一部(anketo.cgi、kansou.cgi、order.cgi)には、入力内容の検査処理が適切に行なわれない脆弱性が存在する。なお、各バージョンの体験版には、問題のあるCGI サンプルプログラムは含まれていない。
 
 これらのCGIサンプルプログラムをWebサーバー上に設置している場合、遠隔の第三者より任意のOSコマンドを実行される可能性がある。その結果、情報を不正に取得・改竄される恐れがあるという。IPAとJPCERT/CCでは対策として、日本IBMが提供する情報をもとに、修正プログラムの摘要やサーバーに設置しているCGIプログラムの修正を行なうことを推奨している。
 関連情報
 
 ■URL
 JVNによる脆弱性情報
 http://jvn.jp/jp/JVN%2381294906/index.html
 ホームページ・ビルダーのサンプル CGI の修正方法(日本IBM)
 http://www-06.ibm.com/jp/software/internet/hpb/security/hpbcgifix_20070514/hpbcgifix.html#02
 
 
 
 
( 増田 覚 )
2007/05/16 12:41
 - ページの先頭へ-
 |