Chunghwa Telecom TenderDocTransferのCSRF未実装による認証不要で任意ファイルに書き込み可能な脆弱性
| Title |
Chunghwa Telecom TenderDocTransferのCSRF未実装による認証不要で任意ファイルに書き込み可能な脆弱性
|
| Summary |
Chunghwa TelecomのTenderDocTransferには、任意のファイルを書き込める脆弱性が存在します。このアプリケーションはローカルで簡易ウェブサーバーを起動し、対象サイトと通信するためのAPIを提供します。APIにCSRF保護が実装されていないため、認証されていないリモートの攻撃者がフィッシングを利用してAPIを悪用する可能性があります。さらに、APIの一つには相対パストラバーサルの脆弱性があり、攻撃者がユーザーのシステムの任意のパスにファイルを書き込むことができます。
|
| Possible impacts |
当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution |
正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date |
Dec. 16, 2024, midnight |
| Registration Date |
Dec. 25, 2025, 5:18 p.m. |
| Last Update |
Dec. 25, 2025, 5:18 p.m. |
|
CVSS3.0 : 重要
|
| Score |
8.1
|
| Vector |
CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H |
Affected System
| Chunghwa Telecom Co., Ltd. |
|
TenderDocTransfer 0.41.151 から 0.41.157 未満
|
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
| No |
Changed Details |
Date of change |
| 1 |
[2025年12月25日]
掲載 |
Dec. 25, 2025, 5:18 p.m. |
NVD Vulnerability Information
CVE-2024-12642
| Summary |
TenderDocTransfer from Chunghwa Telecom has an Arbitrary File Write vulnerability. The application sets up a simple local web server and provides APIs for communication with the target website. Due to the lack of CSRF protection for the APIs, unauthenticated remote attackers could use these APIs through phishing. Additionally, one of the APIs contains a Relative Path Traversal vulnerability, allowing attackers to write arbitrary files to any path on the user's system.
|
| Publication Date |
Dec. 16, 2024, 4:15 p.m. |
| Registration Date |
Dec. 17, 2024, 4:01 a.m. |
| Last Update |
Dec. 16, 2024, 4:15 p.m. |
Related information, measures and tools
Common Vulnerabilities List