【活用ガイド】

[English]

JVNDB-2023-000123

GROWI における複数の脆弱性

概要

株式会社WESEEKが提供する GROWI には、次の複数の脆弱性が存在します。
  • プレゼンテーション機能における格納型クロスサイトスクリプティング (CWE-79) - CVE-2023-42436
  • アプリ設定 (/admin/app)、マークダウン設定 (/admin/markdown) における格納型クロスサイトスクリプティング (CWE-79) - CVE-2023-45737
  • プロフィール画像の処理における格納型クロスサイトスクリプティング (CWE-79) - CVE-2023-45740
  • ユーザー設定画面 (/me) におけるクロスサイトリクエストフォージェリ (CWE-352) - CVE-2023-46699
  • XSS Filter の挙動を悪用した格納型クロスサイトスクリプティング (CWE-79) - CVE-2023-47215
  • img タグによる格納型クロスサイトスクリプティング (CWE-79) - CVE-2023-49119
  • イベントハンドラにおける格納型クロスサイトスクリプティング (CWE-79) - CVE-2023-49598
  • コメント機能における格納型クロスサイトスクリプティング (CWE-79) - CVE-2023-49779
  • MathJax の処理に起因した格納型クロスサイトスクリプティング (CWE-79) - CVE-2023-49807
  • アプリ設定 (/admin/app)、マークダウン設定 (/admin/markdown)、カスタマイズ (/admin/customize) における格納型クロスサイトスクリプティング (CWE-79) - CVE-2023-50175
  • アプリ設定 (/admin/app) における Secret access key の平文表示 (CWE-312) - CVE-2023-50294
  • ユーザー管理 (/admin/users) における不適切な認可 (CWE-285) - CVE-2023-50332
  • セキュリティ設定 (/admin/security) における格納型クロスサイトスクリプティング (CWE-79) - CVE-2023-50339

これらの脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。
CVE-2023-42436
報告者: NTT-ME システムオペレーションセンタ 梶原 翔 氏
CVE-2023-45737
報告者: 筑波大学 高山 尚樹 氏
CVE-2023-45740
報告者: GMOサイバーセキュリティ byイエラエ株式会社 西谷 完太 氏
CVE-2023-46699
報告者: 齋藤徳秀 氏
CVE-2023-47215、CVE-2023-49779
報告者: 株式会社カンム 宮口直也 氏
CVE-2023-49119
報告者: 筑波大学 高山 尚樹 氏、NTT-ME システムオペレーションセンタ 板垣 卓 氏、株式会社Flatt Security 齋藤徳秀 氏
CVE-2023-49598
報告者: 株式会社カンム 宮口直也 氏、GMOサイバーセキュリティ byイエラエ株式会社 小田切祥 氏、藤井 翼 (@reinforchu) 氏、株式会社Flatt Security 森 瑛司 氏、株式会社ブロードバンドセキュリティ 志賀拓馬 氏、三井物産セキュアディレクション株式会社 東内 裕二 氏
CVE-2023-49807
報告者: 株式会社カンム 宮口直也 氏、筑波大学 高山 尚樹 氏
CVE-2023-50175
報告者: 株式会社Flatt Security 齋藤徳秀 氏、株式会社カンム 宮口直也 氏、三井物産セキュアディレクション株式会社 米山 俊嗣 氏
CVE-2023-50294、CVE-2023-50332、CVE-2023-50339
報告者: 株式会社Flatt Security 齋藤徳秀 氏
CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 4.3 (警告) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): なし
  • 完全性への影響(I): 低
  • 可用性への影響(A): なし
CVSS v2 による深刻度
基本値: 5.0 (警告) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): なし
  • 完全性への影響(I): 部分的
  • 可用性への影響(A): なし
※上記は、CVE-2023-50332の評価になります。

CVSS v3 による深刻度
基本値: 5.4 (警告) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 低
  • 利用者の関与: 要
  • 影響の想定範囲: 変更あり
  • 機密性への影響(C): 低
  • 完全性への影響(I): 低
  • 可用性への影響(A): なし
CVSS v2 による深刻度
基本値: 3.5 (注意) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 単一
  • 機密性への影響(C): なし
  • 完全性への影響(I): 部分的
  • 可用性への影響(A): なし
※上記は、CVE-2023-42436の評価になります。

CVSS v3 による深刻度
基本値: 5.4 (警告) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 低
  • 利用者の関与: 要
  • 影響の想定範囲: 変更あり
  • 機密性への影響(C): 低
  • 完全性への影響(I): 低
  • 可用性への影響(A): なし
CVSS v2 による深刻度
基本値: 3.5 (注意) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 単一
  • 機密性への影響(C): なし
  • 完全性への影響(I): 部分的
  • 可用性への影響(A): なし
※上記は、CVE-2023-45737の評価になります。

CVSS v3 による深刻度
基本値: 5.4 (警告) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 低
  • 利用者の関与: 要
  • 影響の想定範囲: 変更あり
  • 機密性への影響(C): 低
  • 完全性への影響(I): 低
  • 可用性への影響(A): なし
CVSS v2 による深刻度
基本値: 3.5 (注意) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 単一
  • 機密性への影響(C): なし
  • 完全性への影響(I): 部分的
  • 可用性への影響(A): なし
※上記は、CVE-2023-45740の評価になります。

CVSS v3 による深刻度
基本値: 3.5 (注意) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 低
  • 利用者の関与: 要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): なし
  • 完全性への影響(I): 低
  • 可用性への影響(A): なし
CVSS v2 による深刻度
基本値: 3.5 (注意) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 単一
  • 機密性への影響(C): なし
  • 完全性への影響(I): 部分的
  • 可用性への影響(A): なし
※上記は、CVE-2023-46699の評価になります。

CVSS v3 による深刻度
基本値: 5.4 (警告) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 低
  • 利用者の関与: 要
  • 影響の想定範囲: 変更あり
  • 機密性への影響(C): 低
  • 完全性への影響(I): 低
  • 可用性への影響(A): なし
CVSS v2 による深刻度
基本値: 3.5 (注意) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 単一
  • 機密性への影響(C): なし
  • 完全性への影響(I): 部分的
  • 可用性への影響(A): なし
※上記は、CVE-2023-47215の評価になります。

CVSS v3 による深刻度
基本値: 5.4 (警告) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 低
  • 利用者の関与: 要
  • 影響の想定範囲: 変更あり
  • 機密性への影響(C): 低
  • 完全性への影響(I): 低
  • 可用性への影響(A): なし
CVSS v2 による深刻度
基本値: 3.5 (注意) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 単一
  • 機密性への影響(C): なし
  • 完全性への影響(I): 部分的
  • 可用性への影響(A): なし
※上記は、CVE-2023-49119の評価になります。

CVSS v3 による深刻度
基本値: 5.4 (警告) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 低
  • 利用者の関与: 要
  • 影響の想定範囲: 変更あり
  • 機密性への影響(C): 低
  • 完全性への影響(I): 低
  • 可用性への影響(A): なし
CVSS v2 による深刻度
基本値: 3.5 (注意) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 単一
  • 機密性への影響(C): なし
  • 完全性への影響(I): 部分的
  • 可用性への影響(A): なし
※上記は、CVE-2023-49598の評価になります。

CVSS v3 による深刻度
基本値: 5.4 (警告) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 低
  • 利用者の関与: 要
  • 影響の想定範囲: 変更あり
  • 機密性への影響(C): 低
  • 完全性への影響(I): 低
  • 可用性への影響(A): なし
CVSS v2 による深刻度
基本値: 3.5 (注意) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 単一
  • 機密性への影響(C): なし
  • 完全性への影響(I): 部分的
  • 可用性への影響(A): なし
※上記は、CVE-2023-49779の評価になります。

CVSS v3 による深刻度
基本値: 5.4 (警告) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 低
  • 利用者の関与: 要
  • 影響の想定範囲: 変更あり
  • 機密性への影響(C): 低
  • 完全性への影響(I): 低
  • 可用性への影響(A): なし
CVSS v2 による深刻度
基本値: 3.5 (注意) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 単一
  • 機密性への影響(C): なし
  • 完全性への影響(I): 部分的
  • 可用性への影響(A): なし
※上記は、CVE-2023-49807の評価になります。

CVSS v3 による深刻度
基本値: 5.4 (警告) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 低
  • 利用者の関与: 要
  • 影響の想定範囲: 変更あり
  • 機密性への影響(C): 低
  • 完全性への影響(I): 低
  • 可用性への影響(A): なし
CVSS v2 による深刻度
基本値: 3.5 (注意) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 単一
  • 機密性への影響(C): なし
  • 完全性への影響(I): 部分的
  • 可用性への影響(A): なし
※上記は、CVE-2023-50175の評価になります。

CVSS v3 による深刻度
基本値: 4.9 (警告) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 高
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): なし
  • 可用性への影響(A): なし
CVSS v2 による深刻度
基本値: 4.0 (警告) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃前の認証要否: 単一
  • 機密性への影響(C): 部分的
  • 完全性への影響(I): なし
  • 可用性への影響(A): なし
※上記は、CVE-2023-50294の評価になります。

CVSS v3 による深刻度
基本値: 5.4 (警告) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 低
  • 利用者の関与: 要
  • 影響の想定範囲: 変更あり
  • 機密性への影響(C): 低
  • 完全性への影響(I): 低
  • 可用性への影響(A): なし
CVSS v2 による深刻度
基本値: 3.5 (注意) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 単一
  • 機密性への影響(C): なし
  • 完全性への影響(I): 部分的
  • 可用性への影響(A): なし
※上記は、CVE-2023-50339の評価になります。
影響を受けるシステム


株式会社WESEEK
  • GROWI v3.4.0 より前のバージョン (CVE-2023-42436)
  • GROWI v3.5.0 より前のバージョン (CVE-2023-45737)
  • GROWI v4.1.3 より前のバージョン (CVE-2023-45740)
  • GROWI v6.0.0 より前のバージョン (CVE-2023-46699、CVE-2023-47215、CVE-2023-49119、CVE-2023-49598、CVE-2023-49779、CVE-2023-49807、CVE-2023-50175)
  • GROWI v6.0.6 より前のバージョン (CVE-2023-50294、CVE-2023-50332)
  • GROWI v6.1.11 より前のバージョン (CVE-2023-50339)

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。
  • 当該製品を使用しているサイトにアクセスしたユーザのウェブブラウザ上で、任意のスクリプトを実行される - CVE-2023-42436、CVE-2023-45737、CVE-2023-45740、CVE-2023-47215、CVE-2023-49119、CVE-2023-49598、CVE-2023-49779、CVE-2023-49807、CVE-2023-50175、CVE-2023-50339
  • 当該製品にログインした状態のユーザが、細工されたページにアクセスした場合、ユーザの意図しない設定変更が行われる - CVE-2023-46699
  • 管理画面にアクセス可能な攻撃者によって、外部サービスの Secret access key を取得される - CVE-2023-50294
  • ユーザが意図せず自身のアカウントを削除または停止させられる - CVE-2023-50332
対策

[アップデートする]
開発者が提供する情報をもとに、最新版にアップデートしてください。
各脆弱性は次のバージョンで修正されています。

CVE-2023-42436
  • GROWI v3.4.0 およびそれ以降

CVE-2023-45737
  • GROWI v3.5.0 およびそれ以降

CVE-2023-45740
  • GROWI v4.1.3 およびそれ以降

CVE-2023-46699、CVE-2023-47215、CVE-2023-49119、CVE-2023-49598、CVE-2023-49779、CVE-2023-49807、CVE-2023-50175
  • GROWI v6.0.0 およびそれ以降

CVE-2023-50294、CVE-2023-50332
  • GROWI v6.0.6 およびそれ以降

CVE-2023-50339
  • GROWI v6.1.11 およびそれ以降
ベンダ情報

株式会社WESEEK
CWEによる脆弱性タイプ一覧  CWEとは?

  1. クロスサイトスクリプティング(CWE-79) [IPA評価]
  2. クロスサイトリクエストフォージェリ(CWE-352) [IPA評価]
  3. その他(CWE-Other) [IPA評価]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2023-42436
  2. CVE-2023-45737
  3. CVE-2023-45740
  4. CVE-2023-46699
  5. CVE-2023-47215
  6. CVE-2023-49119
  7. CVE-2023-49598
  8. CVE-2023-49779
  9. CVE-2023-49807
  10. CVE-2023-50175
  11. CVE-2023-50294
  12. CVE-2023-50332
  13. CVE-2023-50339
参考情報

  1. JVN : JVN#18715935
  2. National Vulnerability Database (NVD) : CVE-2023-42436
  3. National Vulnerability Database (NVD) : CVE-2023-45737
  4. National Vulnerability Database (NVD) : CVE-2023-45740
  5. National Vulnerability Database (NVD) : CVE-2023-46699
  6. National Vulnerability Database (NVD) : CVE-2023-47215
  7. National Vulnerability Database (NVD) : CVE-2023-49119
  8. National Vulnerability Database (NVD) : CVE-2023-49598
  9. National Vulnerability Database (NVD) : CVE-2023-49779
  10. National Vulnerability Database (NVD) : CVE-2023-49807
  11. National Vulnerability Database (NVD) : CVE-2023-50175
  12. National Vulnerability Database (NVD) : CVE-2023-50294
  13. National Vulnerability Database (NVD) : CVE-2023-50332
  14. National Vulnerability Database (NVD) : CVE-2023-50339
更新履歴

  • [2023年12月13日]
      掲載
  • [2024年03月19日]
      参考情報：National Vulnerability Database (NVD) (CVE-2023-42436) を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2023-45737) を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2023-45740) を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2023-46699) を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2023-47215) を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2023-49119) を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2023-49598) を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2023-49779) を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2023-49807) を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2023-50175) を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2023-50294) を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2023-50332) を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2023-50339) を追加

公表日2023/12/13
登録日2023/12/13
最終更新日2024/03/19