JVNDB-2014-007571
|
複数の IBM Emptoris 製品の Echo API における任意のファイルを読まれる脆弱性
|
IBM Emptoris Contract Management、Emptoris Sourcing、Emptoris Program Management (別名 PGM) および Strategic Supply Management (別名 SSMP) の Echo API には、任意のファイルを読まれる脆弱性が存在します。
本件は、XML 外部エンティティ (XXE) の問題に関する脆弱性です。
補足情報 : CWE による脆弱性タイプは、CWE-611: Improper Restriction of XML External Entity Reference ('XXE') と識別されています。
http://cwe.mitre.org/data/definitions/611.html
|
CVSS v2 による深刻度 基本値: 4.0 (警告) [NVD値]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃前の認証要否: 単一
- 機密性への影響(C): 部分的
- 完全性への影響(I): なし
- 可用性への影響(A): なし
|
|
IBM
- Emptoris Contract Management 9.5.0.6 iFix11 未満の 9.5.x
- Emptoris Contract Management 10.0.0.1 iFix12 未満の 10.0.0.x
- Emptoris Contract Management 10.0.1.5 iFix2 未満の 10.0.1.x
- Emptoris Contract Management 10.0.2.2 iFix5 未満の 10.0.2.x
- Emptoris Program Management 10.0.0.3 iFix6 未満の 10.0.0.x
- Emptoris Program Management 10.0.1.4 iFix1 未満の 10.0.1.x
- Emptoris Program Management 10.0.2.5 未満の 10.0.2.x
- Emptoris Sourcing Portfolio 9.5.1.3 iFix2 未満の 9.5
- Emptoris Sourcing Portfolio 10.0.0.1 iFix1 未満の 10.0.0.x
- Emptoris Sourcing Portfolio 10.0.1.3 iFix1 未満の 10.0.1.x
- Emptoris Sourcing Portfolio 10.0.2.5 未満の 10.0.2.x
- Emptoris Strategic Supply Management 10.0.0.3 iFix6 未満の 10.0.0.x
- Emptoris Strategic Supply Management 10.0.1.4 iFix1 未満の 10.0.1.x
- Emptoris Strategic Supply Management 10.0.2.5 未満の 10.0.2.x
|
|
リモート認証されたユーザにより、エンティティ参照に関連する XML 外部エンティティ宣言を介して、任意のファイルを読まれる可能性があります。
|
ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
|
IBM
|
- その他(CWE-Other) [NVD評価]
|
- CVE-2014-6212
|
- National Vulnerability Database (NVD) : CVE-2014-6212
|
|