JVNDB-2021-000073

サイボウズ Garoon に複数の脆弱性

サイボウズ株式会社が提供するサイボウズ Garoon には、次の複数の脆弱性が存在します。

・[CyVDB-1782]スケジュールに関するクロスサイトスクリプティングの脆弱性 (CWE-79) - CVE-2021-20753
・[CyVDB-2029]ワークフローに関する不適切な入力確認の脆弱性 (CWE-20) - CVE-2021-20754
・[CyVDB-2071]ポータルに関する閲覧制限回避の脆弱性 (CWE-264) - CVE-2021-20755
・[CyVDB-2085]アドレス帳に関する閲覧制限回避の脆弱性 (CWE-264) - CVE-2021-20756
・[CyVDB-2092]メールに関する操作制限回避の脆弱性 (CWE-264) - CVE-2021-20757
・[CyVDB-2099]メッセージに関するクロスサイトリクエストフォージェリの脆弱性 (CWE-352) - CVE-2021-20758
・[CyVDB-2103]掲示板に関する操作制限回避の脆弱性 (CWE-264) - CVE-2021-20759
・[CyVDB-2234]ユーザー情報に関する不適切な入力確認の脆弱性 (CWE-20) - CVE-2021-20760
・[CyVDB-2245][CyVDB-2374]メールに関する不適切な入力確認の脆弱性 (CWE-20) - CVE-2021-20761
・[CyVDB-2283]メールに関する不適切な入力確認の脆弱性 (CWE-20) - CVE-2021-20762
・[CyVDB-2368]ポータルに関する操作制限回避の脆弱性 (CWE-264) - CVE-2021-20763
・[CyVDB-2388]ファイル添付に関する不適切な入力確認の脆弱性 (CWE-20) - CVE-2021-20764
・[CyVDB-2406]掲示板に関するクロスサイトスクリプティングの脆弱性 (CWE-79) - CVE-2021-20765
・[CyVDB-2407]メッセージに関するクロスサイトスクリプティングの脆弱性 (CWE-79) - CVE-2021-20766
・[CyVDB-2446]全文検索に関するクロスサイトスクリプティングの脆弱性 (CWE-79) - CVE-2021-20767
・[CyVDB-2448]スケジュールとマルチレポートに関する操作制限回避の脆弱性 (CWE-264) - CVE-2021-20768
・[CyVDB-2568]掲示板に関するクロスサイトスクリプティングの脆弱性 (CWE-79) - CVE-2021-20769
・[CyVDB-2659]メッセージに関するクロスサイトスクリプティングの脆弱性 (CWE-79) - CVE-2021-20770
・[CyVDB-2193]メールの一部機能に関するクロスサイトスクリプティングの脆弱性 (CWE-79) - CVE-2021-20771
・[CyVDB-2479]掲示板に関する掲示タイトル漏洩の脆弱性 (CWE-264) - CVE-2021-20772
・[CyVDB-2755]意図せずワークフローの経路情報が削除される脆弱性 - CVE-2021-20773
・[CyVDB-2766]メールの一部機能に関するクロスサイトスクリプティングの脆弱性 (CWE-79) - CVE-2021-20774
・[CyVDB-2903]コメントの宛先に関する情報漏洩の脆弱性 (CWE-20) - CVE-2021-20775

CVE-2021-20753
この脆弱性情報は、次の方が開発者に報告し、製品利用者への周知を目的に、開発者が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。
発見者: Masato Kinugawa 氏

CVE-2021-20755, CVE-2021-20764, CVE-2021-20765, CVE-2021-20766
これらの脆弱性情報は、次の方が開発者に報告し、製品利用者への周知を目的に、開発者が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。
発見者: 東内 裕二 氏

CVE-2021-20760, CVE-2021-20761, CVE-2021-20767
これらの脆弱性情報は、次の方が開発者に報告し、製品利用者への周知を目的に、開発者が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。
発見者: 三井物産セキュアディレクション 米山 俊嗣 氏

CVE-2021-20771
この脆弱性情報は、次の方が開発者に報告し、製品利用者への周知を目的に、開発者が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。
発見者: 平澤 蓮 氏

CVE-2021-20754, CVE-2021-20756, CVE-2021-20757, CVE-2021-20758, CVE-2021-20759, CVE-2021-20762, CVE-2021-20763, CVE-2021-20768, CVE-2021-20769, CVE-2021-20770, CVE-2021-20772, CVE-2021-20773, CVE-2021-20774, CVE-2021-20775
これらの脆弱性情報は、製品利用者への周知を目的に、開発者が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。

サイボウズ

• サイボウズ ガルーン 4.0.0 から 5.0.2 まで ([CyVDB-1782]、[CyVDB-2029]、[CyVDB-2071]、[CyVDB-2085]、[CyVDB-2092]、[CyVDB-2099]、[CyVDB-2234]、[CyVDB-2245]、[CyVDB-2283]、[CyVDB-2368]、[CyVDB-2374]、[CyVDB-2388]、[CyVDB-2406]、[CyVDB-2407]、[CyVDB-2446]、[CyVDB-2448])
• サイボウズ ガルーン 4.6.0 から 5.0.2 まで ([CyVDB-2103]、[CyVDB-2568]、[CyVDB-2659])
• サイボウズ ガルーン 4.0.0 から 5.5.0 まで ([CyVDB-2193]、[CyVDB-2755]、[CyVDB-2766])
• サイボウズ ガルーン 4.10.0 から 5.5.0 まで ([CyVDB-2479]、[CyVDB-2903])

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。
・[CyVDB-1782]、[CyVDB-2193]、[CyVDB-2406]、[CyVDB-2407]、[CyVDB-2446]、[CyVDB-2568]、[CyVDB-2659]、[CyVDB-2766]:
当該製品にログインしているユーザのウェブブラウザ上で、任意のスクリプトを実行される
・[CyVDB-2029]:
当該製品にログイン可能なユーザによって、本来操作権限のないワークフローに関するデータを改ざんされる
・[CyVDB-2071]:
当該製品にログイン可能なユーザによって、本来閲覧権限のないポータルに関するデータを窃取される
・[CyVDB-2085]:
当該製品にログイン可能なユーザによって、本来閲覧権限のないアドレス帳に関するデータを窃取される
・[CyVDB-2092]、[CyVDB-2283]:
当該製品にログイン可能なユーザによって、本来操作権限のないメールに関するデータを改ざんされる
・[CyVDB-2099]:
当該製品に管理者権限でログインした状態のユーザが、細工されたページにアクセスした場合、意図しない操作をさせられる
・[CyVDB-2103]:
当該製品にログイン可能なユーザによって、本来操作権限のない掲示板に関するデータを改ざんされる
・[CyVDB-2234]:
当該製品にログイン可能なユーザによって、本来操作権限のないユーザー情報に関するデータを改ざんされる
・[CyVDB-2245]、[CyVDB-2374]:
当該製品に管理者権限でログイン可能なユーザによって、本来操作権限のないメールに関するデータを改ざんされる
・[CyVDB-2368]:
当該製品にログイン可能なユーザによって、本来操作権限のないポータルに関するデータを改ざんされる
・[CyVDB-2388]:
遠隔の第三者によって、ファイル添付に関するデータを窃取される
・[CyVDB-2448]:
当該製品にログイン可能なユーザによって、本来操作権限のないスケジュールおよびマルチレポートに関するデータを削除される
・[CyVDB-2479]:
当該製品にログイン可能なユーザによって、本来閲覧権限のない掲示板のタイトル情報を窃取される
・[CyVDB-2755]:
当該製品にログイン可能なユーザによって、ワークフローの経路情報が削除される
・[CyVDB-2903]:
当該製品にログイン可能なユーザによって、スペースとメッセージにおけるコメントの宛先情報を窃取される

[アップデートする]
開発者が提供する情報をもとに、最新版へアップデートしてください。

サイボウズ

• サイボウズからのお知らせ : パッケージ版 Garoon 脆弱性に関するお知らせ

1. 不適切な入力確認(CWE-20) [IPA評価]
2. クロスサイトスクリプティング(CWE-79) [IPA評価]
3. 認可・権限・アクセス制御(CWE-264) [IPA評価]
4. クロスサイトリクエストフォージェリ(CWE-352) [IPA評価]

1. CVE-2021-20753
2. CVE-2021-20754
3. CVE-2021-20755
4. CVE-2021-20756
5. CVE-2021-20757
6. CVE-2021-20758
7. CVE-2021-20759
8. CVE-2021-20760
9. CVE-2021-20761
10. CVE-2021-20762
11. CVE-2021-20763
12. CVE-2021-20764
13. CVE-2021-20765
14. CVE-2021-20766
15. CVE-2021-20767
16. CVE-2021-20768
17. CVE-2021-20769
18. CVE-2021-20770
19. CVE-2021-20771
20. CVE-2021-20772
21. CVE-2021-20773
22. CVE-2021-20774
23. CVE-2021-20775

1. JVN : JVN#54794245

• [2021年08月02日]
    掲載
• [2022年05月24日]
    概要：内容を更新