GROWI 脆弱性対応のお知らせ (JVN#24352487)

概要 ​

子会社 GROWI, Inc. が提供するプロダクト「GROWI」に関するご連絡です。このたび、アクセス制限不備とクロスサイト・スクリプティングの 2 つの脆弱性が含まれることが判明しました。

ファイルアップロード方法の設定が「Local」の場合、アップロードされた添付ファイルが静的ファイル配信領域に保存されており、アクセス制御やレスポンスヘッダ付与を行う正規の配信経路(/attachment/:id、/download/:id)を経由せずに、ファイルへ直接アクセスできる状態でした。

以下の影響があります。

1. アクセス制限不備により、未認証の第三者が、非公開ページの添付ファイル、ユーザー画像、ページ一括エクスポート、監査ログエクスポートの各ファイルへ直接アクセスできる可能性があります
2. 格納型のクロスサイト・スクリプティングにより、HTML ファイルがインラインで描画され、任意のスクリプトが実行される可能性があります

以下のバージョンが影響を受けます。

• v7.5.5 よりも前のすべてのバージョン
  • ただし、ファイルアップロード方法の設定が「Local」の場合のみ影響を受けます。Amazon S3 / GCS / Azure Blob Storage をご利用の場合は影響を受けません

v7.5.5 にて修正対応が完了しておりますので、該当するバージョンをご利用中の方はアップデートをお願いいたします。

セキュリティ脆弱性の詳細 ​

CVE, JVN が公開している以下のセキュリティアドバイザリ

• JVN#24352487

対策 ​

• GROWI を v7.5.5 以降のバージョンにアップデートしてください

アップデート版の入手場所 ​

• GitHub
• Docker Hub

関連ページ ​

• GROWI.org
• GROWI Docs
• GitHub