JVNDB-2007-000395

ホームページ・ビルダー付属の CGI サンプルプログラムにおける OS コマンドインジェクションの脆弱性

日本 IBM が提供するホームページ・ビルダー付属の CGI サンプルプログラムの一部 anketo.cgi, kansou.cgi, order.cgi には、入力内容の検査処理が適正に行われないことによる OS コマンドインジェクションの脆弱性が存在します。

なお、製品開発者の情報によると、各バージョンの体験版には、問題のある CGI サンプルプログラムは含まれていないことが確認されています。

IBM

• ホームページ・ビルダー 11
• ホームページ・ビルダー 10
• ホームページ・ビルダー 10 ライト
• ホームページ・ビルダー V9
• ホームページ・ビルダー V9 ライト
• ホームページ・ビルダー V8
• ホームページ・ビルダー V8 ライト
• ホームページ・ビルダー V7
• ホームページ・ビルダー V7 ライト
• ホームページ・ビルダー V6.5 with HotMedia
• ホームページ・ビルダー V6.5 with HotMedia ライト
• ホームページ・ビルダー V6
• ホームページ・ビルダー V6 ライト
• ホームページ・ビルダー 2001
• ホームページ・ビルダー 2000
• ホームページ・ビルダー V3
• ホームページ・ビルダー V2 バリューパック

ホームページ・ビルダー付属の CGI サンプルプログラムを設置して実行可能にしているサーバにおいて、Web サーバの実行権限で任意のコマンドを実行される可能性があります。

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

製品のサンプルフォルダに置かれている CGI サンプルプログラムは修正プログラムで修正されますが、ユーザのデータやフォルダにすでにコピーされている CGI プログラムや、Web サーバに配置されている CGI プログラムは、手動で修正する必要があります。詳しくは日本 IBM が提供する情報をご確認下さい。

IBM

• 日本 IBM : ホームページ・ビルダーのサンプル CGI の脆弱性について

富士通

• 富士通 セキュリティ情報 : 日本IBM社 ホームページ・ビルダーに添付のサンプルCGIの脆弱性に関するお知らせ
• 富士通 公開脆弱性情報 : ホームページ・ビルダー付属の CGI サンプルプログラムにおける OS コマンドインジェクションの脆弱性

1. JVN : JVN#81294906
2. JPCERT REPORT : JPCERT-WR-2007-1901
3. IPA セキュリティセンター : JVN_81294906

• [2007年06月05日]
    掲載