【活用ガイド】

JVNDB-2018-002189

Navarino Infinity のウェブインターフェースにおける複数の脆弱性

概要

Navarino Infinity のウェブインターフェースには、複数の脆弱性が存在します。

SQL インジェクション (CWE-89) - CVE-2018-5384
Navarino Infinity には、ブラインド SQL インジェクションが可能になる脆弱性が存在します。

セッションの固定化 (CWE-384) - CVE-2018-5385
Navarino Infinity の導入環境によっては、GET パラメータで送信されるセッションIDが利用されるため、二要素認証が回避されセッションの固定化攻撃が行われる可能性があります。

別のパスやチャネルを介した認証回避 (CWE-288) - CVE-2018-5386
特定の URL へのアクセスにより使用可能な機能の一部には、認証を回避して重要な情報を取得される脆弱性が存在します。
CVSS による深刻度 (CVSS とは?)

影響を受けるシステム


Navarino
  • Navarino Infinity version 2.2 およびそれ以前のウェブインターフェース

想定される影響

認証されていない遠隔の第三者によって、認証の回避、アドミニストレータ機能の実行および SQL インジェクションを実行される可能性があります。
対策

[アップデートする]
開発者が提供する情報をもとに、最新版にアップデートしてください。
開発者のウェブサイトによると、すべての Navarino Infinity ユーザに向け、hotfix が提供されているとのことです。
ベンダ情報

Navarino
CWEによる脆弱性タイプ一覧  CWEとは?

  1. 代替パスまたはチャネルを使用した認証回避(CWE-288) [JPCERT/CC評価]
  2. セッションの固定化(CWE-384) [JPCERT/CC評価]
  3. SQLインジェクション(CWE-89) [JPCERT/CC評価]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2018-5384
  2. CVE-2018-5385
  3. CVE-2018-5386
参考情報

  1. JVN : JVNVU#92541395
  2. National Vulnerability Database (NVD) : CVE-2018-5384
  3. National Vulnerability Database (NVD) : CVE-2018-5385
  4. National Vulnerability Database (NVD) : CVE-2018-5386
  5. US-CERT Vulnerability Note : VU#184077
更新履歴

  • [2018年03月30日]
      掲載
  • [2019年07月05日]
      参考情報：National Vulnerability Database (NVD) (CVE-2018-5384) を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2018-5385) を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2018-5386) を追加

公表日2018/03/27
登録日2018/03/30
最終更新日2019/07/05