情報処理推進機構(IPA)とJPCERTコーディネーションセンター(JPCERT/CC)は16日、日本IBMのWebページ作成ソフト「ホームページ・ビルダー」に付属するCGIサンプルプログラムの一部に、OSコマンドインジェクションの脆弱性があると発表した。
対象となるバージョンは、ホームページ・ビルダー 11/10/10ライト/V9/V9ライト/V8
/V8ライト/V7/V7ライト/V6.5 with HotMedia/V6.5 with HotmMedia ライト/V6/V6ライト/
2001/2000/V3/V2 バリューパック。これらのサンプルフォルダに含まれるCGIサンプルプログラムの一部(anketo.cgi、kansou.cgi、order.cgi)には、入力内容の検査処理が適切に行なわれない脆弱性が存在する。なお、各バージョンの体験版には、問題のあるCGI サンプルプログラムは含まれていない。
これらのCGIサンプルプログラムをWebサーバー上に設置している場合、遠隔の第三者より任意のOSコマンドを実行される可能性がある。その結果、情報を不正に取得・改竄される恐れがあるという。IPAとJPCERT/CCでは対策として、日本IBMが提供する情報をもとに、修正プログラムの摘要やサーバーに設置しているCGIプログラムの修正を行なうことを推奨している。
関連情報
■URL
JVNによる脆弱性情報
http://jvn.jp/jp/JVN%2381294906/index.html
ホームページ・ビルダーのサンプル CGI の修正方法(日本IBM)
http://www-06.ibm.com/jp/software/internet/hpb/security/hpbcgifix_20070514/hpbcgifix.html#02
( 増田 覚 )
2007/05/16 12:41
- ページの先頭へ-
|