製品・ソフトウェアに関する情報

JVN脆弱性詳細

サイボウズ Garoon における複数の脆弱性

Title	サイボウズ Garoon における複数の脆弱性
Summary	サイボウズ株式会社が提供するサイボウズ Garoon には、次の複数の脆弱性が存在します。・アプリケーション「アドレス帳」に関する SQL インジェクション (CWE-89) - CVE-2018-0530 ・フォルダの設定における操作制限回避 (CWE-264) - CVE-2018-0531 ・ログイン認証の設定における操作制限回避 (CWE-264) - CVE-2018-0532 ・セッション認証の設定における操作制限回避 (CWE-264) - CVE-2018-0533 ・アプリケーション「スペース」に関する閲覧制限回避 (CWE-264) - CVE-2018-0548 ・アプリケーション「メッセージ」の書式編集機能における格納型クロスサイトスクリプティング (CWE-79) -CVE-2018-0549 ・アプリケーション「ファイル管理」に関する閲覧制限回避 (CWE-264) - CVE-2018-0550 ・アプリケーション「スペース」の書式編集機能における格納型クロスサイトスクリプティング (CWE-79) - CVE-2018-0551 CVE-2018-0530, CVE-2018-0531, CVE-2018-0532, CVE-2018-0533 および CVE-2018-0548 は、製品利用者への周知を目的に、開発者が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。 CVE-2018-0549 は、次の方が開発者に報告し、製品利用者への周知を目的に、開発者が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。発見者: 小勝純氏 CVE-2018-0550 は、次の方が開発者に報告し、製品利用者への周知を目的に、開発者が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。発見者: ixama 氏 CVE-2018-0551 は、次の方が開発者に報告し、製品利用者への周知を目的に、開発者が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。発見者: Masato Kinugawa 氏
Possible impacts	想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。・当該製品にログイン可能なユーザによって、データベース内の情報を取得される - CVE-2018-0530 ・一つ以上のフォルダに運用管理権限を持つユーザによって、本来運用管理権限を持たないフォルダのアクセス権限や通知設定を閲覧されたり、変更されたりする - CVE-2018-0531 ・当該製品に管理者権限でログイン可能なユーザによって、標準データベースの設定データを改ざんされる - CVE-2018-0532 ・当該製品に管理者権限でログイン可能なユーザによって、セッション認証の設定データを改ざんされる - CVE-2018-0533 ・当該製品にログイン可能なユーザによって、非公開スペースのタイトルを閲覧される - CVE-2018-0548 ・当該製品にログインしているユーザのウェブブラウザ上で、任意のスクリプトを実行される - CVE-2018-0549,CVE-2018-0551 ・当該製品にログイン可能なユーザによって、本来閲覧権限のないフォルダ名を閲覧される - CVE-2018-0550
Solution	[アップデートする] 開発者が提供する情報をもとに、最新版へアップデートしてください。【2018年5月31日追記】 CVE-2018-0551 について、一部の修正のみが完了していることが判明しました。開発者によると、残りの修正については現在対応中であり、対策版のリリース時期については未定とのことです。
Publication Date	April 9, 2018, midnight
Registration Date	April 9, 2018, 12:05 p.m.
Last Update	June 14, 2018, 2:33 p.m.

CVSS3.0 : 警告
Score	5.4
Vector	CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N

CVSS2.0 : 警告
Score	5.5
Vector	AV:N/AC:L/Au:S/C:P/I:P/A:N

Affected System

サイボウズ

サイボウズガルーン 3.0.0 から 4.2.6 まで (CVE-2018-0531, CVE-2018-0532, CVE-2018-0533)

サイボウズガルーン 3.0.0 から 4.6.0 まで (CVE-2018-0549)

サイボウズガルーン 3.0.0 から 4.6.1 まで (CVE-2018-0551)

サイボウズガルーン 3.5.0 から 4.2.6 まで (CVE-2018-0530)

サイボウズガルーン 3.5.0 から 4.6.1 まで (CVE-2018-0550)

サイボウズガルーン 4.0.0 から 4.6.0 まで (CVE-2018-0548)

CVE (情報セキュリティ共通脆弱性識別子)

No	Name	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2018-0530	https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-0530
2	CVE-2018-0531	https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-0531
3	CVE-2018-0532	https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-0532
4	CVE-2018-0533	https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-0533
5	CVE-2018-0548	https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-0548
6	CVE-2018-0549	https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-0549
7	CVE-2018-0550	https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-0550
8	CVE-2018-0551	https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-0551
National Vulnerability Database (NVD)
9	CVE-2018-0530	https://nvd.nist.gov/vuln/detail/CVE-2018-0530
10	CVE-2018-0531	https://nvd.nist.gov/vuln/detail/CVE-2018-0531
11	CVE-2018-0532	https://nvd.nist.gov/vuln/detail/CVE-2018-0532
12	CVE-2018-0533	https://nvd.nist.gov/vuln/detail/CVE-2018-0533
13	CVE-2018-0548	https://nvd.nist.gov/vuln/detail/CVE-2018-0548
14	CVE-2018-0549	https://nvd.nist.gov/vuln/detail/CVE-2018-0549
15	CVE-2018-0550	https://nvd.nist.gov/vuln/detail/CVE-2018-0550
16	CVE-2018-0551	https://nvd.nist.gov/vuln/detail/CVE-2018-0551

CWE (共通脆弱性タイプ一覧)

No	Name	URL
JVNDB
1	CWE-264	https://jvndb.jvn.jp/ja/cwe/CWE-264.html
2	CWE-79	https://jvndb.jvn.jp/ja/cwe/CWE-79.html
3	CWE-89	https://jvndb.jvn.jp/ja/cwe/CWE-89.html

ベンダー情報

No	Name	URL
不具合情報公開サイト
1	[CyVDB-1054]アドレス帳に関するSQLインジェクションの脆弱性	https://support.cybozu.com/ja-jp/article/9326
2	[CyVDB-1070]フォルダの設定に関する閲覧および操作制限回避の脆弱性	https://support.cybozu.com/ja-jp/article/9349
3	[CyVDB-1085]ログイン認証の設定に関する操作制限回避の脆弱性	https://support.cybozu.com/ja-jp/article/9378
4	[CyVDB-1094]セッション認証の設定に関する操作制限回避の脆弱性	https://support.cybozu.com/ja-jp/article/9375
5	[CyVDB-1398]スペースに関する閲覧制限回避の脆弱性	https://support.cybozu.com/ja-jp/article/9886
6	[CyVDB-1440]書式編集に関するクロスサイトスクリプティングの脆弱性	https://support.cybozu.com/ja-jp/article/10058
7	[CyVDB-1491]ファイル管理に関する閲覧制限回避の脆弱性	https://support.cybozu.com/ja-jp/article/10056
8	[CyVDB-1531]書式編集に関するクロスサイトスクリプティングの脆弱性	https://support.cybozu.com/ja-jp/article/10211

その他

No	Name	URL
JVN
1	JVN#65268217	https://jvn.jp/jp/JVN65268217/index.html

Change Log

No	Changed Details	Date of change
1	[2018年04月09日] 掲載	April 4, 2018, 4:05 p.m.
2	[2018年04月09日] 影響を受けるシステム:内容の更新	April 9, 2018, 7:18 p.m.
3	[2018年05月31日] 対策:内容の更新	May 31, 2018, 3:32 p.m.
4	[2018年06月14日] 参考情報：National Vulnerability Database (NVD) (CVE-2018-0530) を追加参考情報：National Vulnerability Database (NVD) (CVE-2018-0531) を追加参考情報：National Vulnerability Database (NVD) (CVE-2018-0532) を追加参考情報：National Vulnerability Database (NVD) (CVE-2018-0533) を追加参考情報：National Vulnerability Database (NVD) (CVE-2018-0548) を追加参考情報：National Vulnerability Database (NVD) (CVE-2018-0549) を追加参考情報：National Vulnerability Database (NVD) (CVE-2018-0550) を追加参考情報：National Vulnerability Database (NVD) (CVE-2018-0551) を追加	June 14, 2018, 12:32 p.m.

NVD Vulnerability Information

CVE-2018-0530

Summary	SQL injection vulnerability in the Cybozu Garoon 3.5.0 to 4.2.6 allows remote authenticated attackers to execute arbitrary SQL commands via unspecified vectors.
Publication Date	April 16, 2018, 11:29 p.m.
Registration Date	March 1, 2021, 6:37 p.m.
Last Update	Nov. 21, 2024, 12:38 p.m.

Affected software configurations

Configuration1		or higher	or less	more than	less than
cpe:2.3:a:cybozu:garoon::::::::		3.5.0	4.2.6

Related information, measures and tools

No	URL	タグ
1	http://jvn.jp/en/jp/JVN65268217/index.html	Third Party Advisory VDB Entry
2	http://jvn.jp/en/jp/JVN65268217/index.html	Third Party Advisory VDB Entry
3	https://support.cybozu.com/ja-jp/article/9326	Vendor Advisory
4	https://support.cybozu.com/ja-jp/article/9326	Vendor Advisory

Common Vulnerabilities List

No	CWE	Name	URL
1	CWE-89	SQLインジェクション	https://cwe.mitre.org/data/definitions/89.html

CVE-2018-0531

Summary	Cybozu Garoon 3.0.0 to 4.2.6 allows remote authenticated attackers to bypass access restriction to view or alter an access privilege of a folder and/or notification settings via unspecified vectors.
Publication Date	April 16, 2018, 11:29 p.m.
Registration Date	March 1, 2021, 6:37 p.m.
Last Update	Nov. 21, 2024, 12:38 p.m.

Affected software configurations

Configuration1		or higher	or less	more than	less than
cpe:2.3:a:cybozu:garoon::::::::		3.0.0	4.2.6

Related information, measures and tools

No	URL	タグ
1	http://jvn.jp/en/jp/JVN65268217/index.html	Third Party Advisory VDB Entry
2	http://jvn.jp/en/jp/JVN65268217/index.html	Third Party Advisory VDB Entry
3	https://support.cybozu.com/ja-jp/article/9349	Vendor Advisory
4	https://support.cybozu.com/ja-jp/article/9349	Vendor Advisory

Common Vulnerabilities List

CVE-2018-0532

Summary	Cybozu Garoon 3.0.0 to 4.2.6 allows remote authenticated attackers to bypass access restriction to alter setting data of the Standard database via unspecified vectors.
Publication Date	April 16, 2018, 11:29 p.m.
Registration Date	March 1, 2021, 6:37 p.m.
Last Update	Nov. 21, 2024, 12:38 p.m.

Affected software configurations

Configuration1		or higher	or less	more than	less than
cpe:2.3:a:cybozu:garoon::::::::		3.0.0	4.2.6

Related information, measures and tools

No	URL	タグ
1	http://jvn.jp/en/jp/JVN65268217/index.html	Third Party Advisory VDB Entry
2	http://jvn.jp/en/jp/JVN65268217/index.html	Third Party Advisory VDB Entry
3	https://support.cybozu.com/ja-jp/article/9378	Vendor Advisory
4	https://support.cybozu.com/ja-jp/article/9378	Vendor Advisory

Common Vulnerabilities List

No	CWE	Name	URL
1	CWE-79	クロスサイト・スクリプティング（XSS）	https://cwe.mitre.org/data/definitions/79.html

CVE-2018-0533

Summary	Cybozu Garoon 3.0.0 to 4.2.6 allows remote authenticated attackers to bypass access restriction to alter setting data of session authentication via unspecified vectors.
Publication Date	April 16, 2018, 11:29 p.m.
Registration Date	March 1, 2021, 6:37 p.m.
Last Update	Nov. 21, 2024, 12:38 p.m.

Affected software configurations

Configuration1		or higher	or less	more than	less than
cpe:2.3:a:cybozu:garoon::::::::		3.0.0	4.2.6

Related information, measures and tools

No	URL	タグ
1	http://jvn.jp/en/jp/JVN65268217/index.html	Third Party Advisory VDB Entry
2	http://jvn.jp/en/jp/JVN65268217/index.html	Third Party Advisory VDB Entry
3	https://support.cybozu.com/ja-jp/article/9375	Vendor Advisory
4	https://support.cybozu.com/ja-jp/article/9375	Vendor Advisory

Common Vulnerabilities List

CVE-2018-0548

Summary	Cybozu Garoon 4.0.0 to 4.6.0 allows remote authenticated attackers to bypass access restriction to view the closed title of "Space" via unspecified vectors.
Publication Date	April 16, 2018, 11:29 p.m.
Registration Date	March 1, 2021, 6:37 p.m.
Last Update	Nov. 21, 2024, 12:38 p.m.

Affected software configurations

Configuration1		or higher	or less	more than	less than
cpe:2.3:a:cybozu:garoon::::::::		4.0.0	4.6.0

Related information, measures and tools

No	URL	タグ
1	http://jvn.jp/en/jp/JVN65268217/index.html	Third Party Advisory VDB Entry
2	http://jvn.jp/en/jp/JVN65268217/index.html	Third Party Advisory VDB Entry
3	https://support.cybozu.com/ja-jp/article/9886	Vendor Advisory
4	https://support.cybozu.com/ja-jp/article/9886	Vendor Advisory

Common Vulnerabilities List

CVE-2018-0549

Summary	Cross-site scripting vulnerability in Cybozu Garoon 3.0.0 to 4.6.0 allows remote authenticated attackers to inject arbitrary web script or HTML via unspecified vectors.
Publication Date	April 16, 2018, 11:29 p.m.
Registration Date	March 1, 2021, 6:37 p.m.
Last Update	Nov. 21, 2024, 12:38 p.m.

Affected software configurations

Configuration1		or higher	or less	more than	less than
cpe:2.3:a:cybozu:garoon::::::::		3.0.0	4.6.0

Related information, measures and tools

No	URL	タグ
1	http://jvn.jp/en/jp/JVN65268217/index.html	Third Party Advisory VDB Entry
2	http://jvn.jp/en/jp/JVN65268217/index.html	Third Party Advisory VDB Entry
3	https://support.cybozu.com/ja-jp/article/10058	Vendor Advisory
4	https://support.cybozu.com/ja-jp/article/10058	Vendor Advisory

Common Vulnerabilities List

No	CWE	Name	URL
1	CWE-79	クロスサイト・スクリプティング（XSS）	https://cwe.mitre.org/data/definitions/79.html

CVE-2018-0550

Summary	Cybozu Garoon 3.5.0 to 4.6.1 allows remote authenticated attackers to bypass access restriction to view the closed title of "Cabinet" via unspecified vectors.
Publication Date	April 16, 2018, 11:29 p.m.
Registration Date	March 1, 2021, 6:37 p.m.
Last Update	Nov. 21, 2024, 12:38 p.m.

Affected software configurations

Configuration1		or higher	or less	more than	less than
cpe:2.3:a:cybozu:garoon::::::::		3.5.0	4.6.1

Related information, measures and tools

No	URL	タグ
1	http://jvn.jp/en/jp/JVN65268217/index.html	Third Party Advisory VDB Entry
2	http://jvn.jp/en/jp/JVN65268217/index.html	Third Party Advisory VDB Entry
3	https://support.cybozu.com/ja-jp/article/10056	Vendor Advisory
4	https://support.cybozu.com/ja-jp/article/10056	Vendor Advisory

Common Vulnerabilities List

CVE-2018-0551

Summary	Cross-site scripting vulnerability in Cybozu Garoon 3.0.0 to 4.6.1 allows remote authenticated attackers to inject arbitrary web script or HTML via unspecified vectors.
Publication Date	April 16, 2018, 11:29 p.m.
Registration Date	March 1, 2021, 6:37 p.m.
Last Update	Nov. 21, 2024, 12:38 p.m.

Affected software configurations

Configuration1		or higher	or less	more than	less than
cpe:2.3:a:cybozu:garoon::::::::		3.0.0	4.6.1

Related information, measures and tools

No	URL	タグ
1	http://jvn.jp/en/jp/JVN65268217/index.html	Third Party Advisory VDB Entry
2	http://jvn.jp/en/jp/JVN65268217/index.html	Third Party Advisory VDB Entry
3	https://support.cybozu.com/ja-jp/article/10211	Vendor Advisory
4	https://support.cybozu.com/ja-jp/article/10211	Vendor Advisory

Common Vulnerabilities List

No	CWE	Name	URL
1	CWE-79	クロスサイト・スクリプティング（XSS）	https://cwe.mitre.org/data/definitions/79.html