いつもShelterをご利用いただきまして、誠にありがとうございます。
Shelterにおけるクロスサイトスクリプティングおよびディレクトリトラバーサルの脆弱性につきまして以下のとおりお知らせいたします。
■概要
Shelterにおいてクロスサイトスクリプティングおよびディレクトリトラバーサルの脆弱性が存在することが判明しました。
この脆弱性を悪用された場合、悪意ある第三者の攻撃により、外部の不正なサイトへの誘導やShelterに登録しているデータの情報漏洩や改ざんの危険性があります。
■脆弱性の説明
Shelterにログインした一般ユーザが、内容、説明項目、コメント等に画像を張り付ける際、および添付項目にファイルを添付する際のリクエストを不正に改ざんすることで、外部サイトへの誘導やShelterが提供するスクリプトの実行、および予期しないフォルダへのファイルアップロードができる脆弱性が存在します。
なお、Shelterにログインできない匿名ユーザは本脆弱性を用いた攻撃はできません。（脆弱性を用いた攻撃ができるユーザは、Shelterにログインできるユーザに限ります）
■脆弱性がもたらす脅威
攻撃者が設置したスクリプトにより、悪意のある外部サイトへの誘導や、Shelterの管理者が攻撃者がスクリプトを設置したページを開いた場合にShelterの管理操作を意図せず実行させられる可能性があります。また、予期しないフォルダへファイルを保存することができます。
■改善対応
2023年6月21日のメンテナンスにて対応を実施し、現在は改善されております。
上記の脆弱性に伴う攻撃を実行することはできません。
また、Shelterにおいて本脆弱性を悪用したデータの改ざんや情報漏えい等は確認されておりません。
■オンプレミス版をご利用のお客さま
最新版である1.3.40.0(1.12.0)以降にバージョンアップをお願いいたします。
今後ともShelterをご愛顧のほど、よろしくお願い申し上げます。