脆弱性情報（JVN）検索・一覧

Microsoft Office Excel の境界外読み取りの脆弱性により、不正な攻撃者がローカル環境で情報を漏洩させる可能性があります。

影響を受けるMISPのバージョンには、フリーテキストフィードプレビュー機能において不適切な認可チェックが含まれています。プレビューは、要求ユーザーのACLを適用せずにイベントの属性に対して相関検索を行っていたため、本来アクセス権のないユーザーにも制限されたイベントの相関情報および関連イベント情報が露出してしまいました。脆弱なクエリは、MISPのイベント、組織、共有グループ、属性、およびオブジェクトレベルのアクセス制御ではなく、属性値と削除状態のみを基準にスコープしていました。同じプレビューフィード機能は、呼び出し元が参照可能なフィードリストに適切に制限せずにクロスフィードの相関情報も返していたため、lookup_visibleにマークされていないフィードのメタデータが露出してしまいました。影響を受けるレスポンスの一部には、機能上必要のないフィードのURLが含まれていました。修正により、呼び出し元のACLが属性相関検索に適用され、相関結果からフィードURLが削除され、クロスフィード結果はフィードの可視性に応じて制限され、ホストと組織IDの比較が修正されて認可ルールが一貫して適用されるようになりました。影響を受けるバージョンは2.5.45以下です。

影響を受けるMISPのバージョンでは、templates/uploadFileのACLエントリにワイルドカード*が使用されているため、認証された任意のユーザーがTemplatesController::uploadFile()にアクセスできます。これにより、隣接するテンプレート管理操作に適用される予定の役割制限を回避できます。アップロードハンドラは最小限のチェックしか行わず、任意のコンテンツを受け入れてapp/tmp/files/に書き込みます。そのため、低権限または読み取り専用のユーザーであっても、perm_addやperm_templateを必要とせずにファイルを繰り返しアップロードでき、サーバのディスク容量を消費させることが可能です。修正ではACL要件を*からperm_addに変更しています。さらに、コミットでは影響範囲の拡大の可能性も排除しています。アップロードされたファイルにはランダムな名前が付与され、パストラバーサルや予測可能な上書きは不可能です。また、一時ディレクトリはウェブルート外にあり、ファイルは直接HTTPで提供されません。したがって、本問題は任意のファイル上書き、保存型XSS、またはリモートコード実行（RCE）として説明すべきではありません。影響を受けるバージョンは2.5.45以下です。

影響を受けるMISPのバージョンでは、ユーザーが設定可能なホームページを検証する際に、指定されたパスが / で始まっているかどうかのみをチェックしています。しかし、このチェックは不十分です。なぜなら、//attacker.example のようなプロトコル相対URLも / で始まりますが、ブラウザでは外部オリジンに解決されてしまうためです。脆弱なホームページの値はユーザー設定として保存され、その後ログイン後のルーティングロジックで使用されることがあります。コミットでは、//attacker.example がバリデーションを通過し、ログイン後にLocationヘッダーに返されたペイロードとして明示的に特定されています。修正では、ホスト、スキーム、ユーザー情報、不正な先頭の // や /\、不正なURL、制御文字を含むURLを拒否する共通の InternalRedirectValidator を導入しました。また、読み取り時にもホームページ設定を再検証するため、レガシーや内部で書き込まれた安全でない値が新しい保存時バリデーションを回避できなくなっています。影響を受けるバージョンは2.5.45以下です。

影響を受けるMISPのバージョンでは、CryptographicKeysController::view()を通じて暗号鍵を提供する際に、親イベントの可視性が強制されていませんでした。 脆弱なハンドラは、提供されたキーIDを使用して直接CryptographicKeyをクエリし、以下のような機密フィールドを選択していました。 * type\n * key_data\n * fingerprint しかし、関連する親イベントをまず取得または認可していませんでした。 上流のコミットでは、cryptographicKeys/viewが保護されたイベントの署名鍵をあらゆる認証済みユーザに返す可能性があることが明示されています。 修正では、parent_idとparent_typeを検索に追加し、その後fetchSimpleEvent($user, parent_id)を使用して関連イベントを通じた認可を強制しています。もし親がEventでない場合、アクセスはサイト管理者に限定されます。 影響を受けるバージョン：2.5.45以上

影響を受けるMISPのバージョンでは、DashboardsController::listTemplates()におけるメールアドレスの表示制御が一貫して適用されていませんでした。クエリは常にUser.emailを取得していましたが、伏字処理は非RESTレンダリングのブランチ内でのみ行われていました。その結果、通常のHTMLインターフェースで伏字化されたデータを見ていた認証済みユーザーがREST/JSON表現を要求すると、意図された権限チェックなしにテンプレート所有者のメールアドレスを受け取ることが可能な状態でした。修正では、この判断を中央集権的なUser::canSeeEmails()認可ヘルパーに移行しました。メールアドレスは、リクエスターがサイト管理者である場合、またはインスタンスが明示的にSecurity.disclose_user_emailsを有効にしている場合にのみ取得されます。同じヘルパーは他のダッシュボードウィジェットでも再利用されており、メール公開ポリシーの一貫性を保っています。影響を受けるバージョンは2.5.45以下です。

影響を受けるMISPのバージョンでは、通常の組織一覧や組織別ビューで適用される可視性制限がダッシュボードの組織ピッカーには適用されず、組織メタデータが公開されてしまいます。影響を受けるエンドポイントは以下のフィールドを返していました： * 組織ID、 * UUID、 * 名称。Security.hide_organisation_index_from_usersが有効になっている場合、通常の組織列挙は制限されますが、ダッシュボードのピッカーは依然としてすべての組織を検索していました。これにより、認証されたユーザーは本来見えないはずの組織を発見できるようになっていました。この問題の修正では、Organisation::createConditions($this-＞Auth-＞user())を呼び出し、その結果得られるACL条件をピッカーのクエリに追加しています。これにより、一般ユーザーは既に閲覧可能なイベントや提案に関連する組織、ならびに自身の組織に限定されるようになります。一方、適切な共有グループ権限を持つユーザーはより広範な可視性を保持します。影響を受けるバージョンは2.5.45以下です。

ImageMagick 7.1.2-30より前のバージョンおよび6.9.xの6.9.13-55より前のバージョンには、PerlMagickのGetListメソッドにヒープ使用後解放（heap-use-after-free）の脆弱性が存在します。GetListメソッドへの細工された呼び出しによって使用後解放が引き起こされ、クラッシュ（サービス拒否）が発生する可能性があります。

ImageMagickのバージョン7.1.2-30以前および6.9.13-55以前の6.9.xには、PerlMagickのLayerメソッドにヒープ使用後解放（heap-use-after-free）の脆弱性が存在します。細工された画像リストを提供する攻撃者は、解放後のメモリアクセスを引き起こすことができ、その結果、サービス拒否（クラッシュ）が発生する可能性があります。

影響を受けるMISPのバージョンは、特にButtonウィジェットにおいて、ダッシュボードウィジェットで使用されるURLの検証が不十分です。ウィジェットのURLはユーザーが管理する設定に保存されます。以前のレンダラーは、URLが相対的に見えるか、解析されたホスト名が設定されたMISPのホスト名と一致する場合、そのURLを安全であると判断していました。しかし、そのロジックでは危険なスキームや、ブラウザがPHPのURL解析とは異なる方法で正規化するURL形式を拒否できていませんでした。その結果、javascript: URLやバックスラッシュを用いた権限指定形式の値が生成されたアンカーのhrefに到達し、他のユーザーがウィジェットとやり取りした際にスクリプトが実行されたり、攻撃者管理下のオリジンへ遷移したりする可能性がありました。アップストリームのコミットではこの問題を以下のように説明しています。「javascript: およびバックスラッシュを含むURLがhrefに到達していた（ストアドXSS）」。修正では、ウィジェットのURLを共通のDashboardURLValidatorで検証し、危険なスキーム、生のバックスラッシュ、制御文字、不正な絶対オリジンを拒否し、ウィジェットハンドラとレンダラーの両方でURL検証を行うようにしています。影響バージョンは2.5.45以下です。

影響を受けるバージョンのMISPには、組織情報を表示するダッシュボードウィジェット間で一貫性のない認可チェックが含まれています。いくつかの組織関連ウィジェットはSecurity.hide_organisation_index_from_usersを尊重していませんでした。その結果、perm_sharing_group権限を持たない認証ユーザーであっても、意図的に非表示とされていた通常の組織インデックスから組織を列挙できてしまいました。影響を受けるウィジェットには以下のパスが含まれています。 * 組織名および識別子を返すもの * 制限なしのfind('all')クエリにより全行を取得し、JSONエクスポート経由で追加の組織データベースフィールドを露出する可能性のあるもの * limit=0または負の値を受け入れ、結果制限を実質的に解除して組織テーブル全体を返してしまう可能性のあるもの。関連する組織貢献者リーダーボードも同じ可視化設定を無視していました。そのハンドラーはイベントテーブル全体のEvent.orgc_idをカウントし、そのIDを組織名にマッピングして、呼び出し元がそれらのイベントを閲覧できるかどうかに関わらず、全てのイベントを持つ組織を明らかにしました。この問題を修正するために、組織インデックスの可視性を持たないユーザー向けにはこのウィジェットを完全に削除しています。対象バージョンは2.5.45以下です。

影響を受けるバージョンのMISPでは、認証されたユーザーがEventGraphTool::get_reference_data()を通じてUUIDによってオブジェクト参照レコードを取得できますが、リクエスターが参照が属するオブジェクトを閲覧する権限を持っているかどうかを事前に確認していませんでした。 脆弱なコードはObjectReference.uuidを直接照会し、該当する行が存在する場合は常にそれを返していました。親オブジェクトのACLが適用されていないため、参照UUIDを知っているか取得したユーザーは、自身の通常のアクセス範囲外のオブジェクトに関連する情報を取得できてしまいました。コミットでは、親オブジェクトの認証をせずにUUIDで任意のオブジェクト参照を返すことが明示されています。 修正では、参照されているオブジェクトのobject_idを取得し、現在のユーザー権限でfetchObjectSimple()を呼び出します。ユーザーがその親オブジェクトにアクセスできない場合、MISPは参照情報を公開する代わりにNotFoundExceptionを返します。 影響を受けるバージョン：2.5.45以上

Snipe-IT 8.7.1より前のバージョンでは、POST /account/accept/{acceptance} エンドポイントの note フィールドの長さを検証しません。そのため、認証済みユーザーは無制限の入力を送信でき、その入力はそのまま同期的に CommonMark レンダリングに渡されます。攻撃者は大きな note の値を送信することで、PHP ワーカーのCPUを枯渇させ、マークダウン解析パイプラインでのリソース枯渇によるサービス拒否（DoS）を引き起こす可能性があります。

snipe-itのバージョン8.7.0より前には、ExternalUrl検証ルールにサーバーサイドリクエストフォージェリの脆弱性が存在しており、プライベートなIPv4ターゲットをエンコードしたIPv6トランジションアドレスを検出できませんでした。スーパ管理者権限を持つ攻撃者は、NAT64、6to4、またはTeredoトランジションアドレスを使用してWebhook URLを設定し、SSRFガードを回避して内部サービスやクラウドメタデータエンドポイントにアクセスすることが可能です。

snipe-it 8.7.0より前のバージョンには、チェックアウトリクエスト処理における計算の誤りによる脆弱性が存在します。これにより、認証済みユーザーは重複した送信やアクティブなリクエストがない状態でのキャンセルを通じて assets.requests_counter を破損させることが可能です。攻撃者はアクティブなリクエストがない状態でキャンセルエンドポイントを繰り返し呼び出してカウンターを負の値に変更したり、重複したチェックアウトリクエストを送信してカウンターを増加させることで、管理者キューの保留中の需要を誤って表示させることができます。

snipe-itのバージョン8.7.0未満では、GET /hardware/{asset}/barcode エンドポイントにおける資産ビューの認可が適切に適用されていません。認証済みの攻撃者は資産IDを反復してバーコードを取得でき、ソフト削除された資産や他社の資産を含むテナント全体の資産タグを列挙することが可能です。