各位

JPCERT-AT-2023-0014
JPCERT/CC
2023-08-01（新規）
2023-08-18（更新）

JPCERT/CC Alert 2023-08-01

Proselfの認証バイパスおよびリモートコード実行の脆弱性に関する注意喚起

https://www.jpcert.or.jp/at/2023/at230014.html


I. 概要2023年7月20日から、株式会社ノースグリッドはオンラインストレージ構築パッケージ製品「Proself」の認証バイパスおよびリモートコード実行の脆弱性に関する情報を公開しています。すでに多くの利用組織が本件の調査や対応を進めている状況であると認識していますが、まだ本件を確認できていない利用組織が存在している可能性を危惧し、本注意喚起を公開し、本製品の販売や提供、運用や保守などを行う利用組織に対しても問題の認識や調査、対策実施を呼び掛けることにいたしました。

株式会社ノースグリッド
[至急]Proselfのゼロディ脆弱性による攻撃発生について
https://www.proself.jp/information/149/

同脆弱性を悪用する攻撃がすでに確認されており、攻撃の影響を受けていないか確認するための調査の実施や、脆弱性の影響を緩和するための対策や回避策の適用が呼びかけられています。同製品を利用したサービスやシステムを販売、運用あるいは保守している場合、株式会社ノースグリッドが提供する最新の情報をご確認の上、速やかに調査の実施および対策や回避策の適用などをご検討ください。


II. 対象対象となる製品のエディションおよびバージョンは次のとおりです。

- Proselfの全てのエディション、およびバージョン


III. 対策2023年7月28日、株式会社ノースグリッドは本脆弱性を修正したProselfVer5.62をリリースし、8月14日にProself Gateway Edition Ver1.65を、8月17日にProself Mail Sanitize Edition Ver1.08をリリースしています。

株式会社ノースグリッドが提供する最新の情報をご確認の上、修正バージョンが公開されている場合は速やかに適用をご検討ください。なお、サポートが終了している製品では脆弱性を修正するバージョンのリリースは行われないとのことです。

株式会社ノースグリッド
Proselfのゼロディ脆弱性への対応バージョンに関する補足
https://www.proself.jp/information/150/


IV. 回避策株式会社ノースグリッドより、本脆弱性の影響を緩和するための回避策に関する情報が公開されています。株式会社ノースグリッドが提供する最新の情報をご確認の上、回避策の適用をご検討ください。

- Proselfインストールフォルダから特定のファイルを移動または削除


V. 侵害有無調査株式会社ノースグリッドより、本脆弱性を悪用した攻撃を受けたかどうか調べるための確認内容として次のような方法が紹介されています。

- Proselfインストールフォルダ/logs配下のログ調査
- ウイルススキャンの設定内容の確認

同社が提供する最新の情報をご確認の上、攻撃を受けた可能性がある場合、影響内容の調査や影響の内容に応じた対処をご検討ください。


IV. 参考情報
株式会社ノースグリッド
Proself Enterprise Edition Ver5.62 リリースノート
https://www.proself.jp/txt/ReleaseNotes5E.txt

株式会社ノースグリッド
Proself Standard Edition Ver5.62 リリースノート
https://www.proself.jp/txt/ReleaseNotes5.txt

株式会社ノースグリッド
Proself Gateway Edition Ver1.65 リリースノート
https://www.proself.jp/txt/ReleaseNotes5GW.txt

株式会社ノースグリッド
アップデート
https://www.proself.jp/download/list/#update

** 更新: 2023年8月18日追記 ****************
Japan Vulnerability Notes JVN#19661362
Proself における複数の脆弱性
https://jvn.jp/jp/JVN19661362/
**************************************************


今回の件につきまして提供いただける情報がございましたら、JPCERT/CCまでご連絡ください。

________
改訂履歴
2023-08-01 初版
2023-08-14 「III. 対策」の内容を更新、「IV. 参考情報」に追記
2023-08-18 「III. 対策」の内容を更新、「IV. 参考情報」に追記

==============================
一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）
早期警戒グループ
Email：ew-info@jpcert.or.jp