製品・ソフトウェアに関する情報

脆弱性検索

ベンダー検索

プロダクト・サービス検索

JVN脆弱性検索トップ

->

JVN脆弱性詳細

ownCloud におけるクロスサイトリクエストフォージェリの脆弱性

タイトル	ownCloud におけるクロスサイトリクエストフォージェリの脆弱性
概要	ownCloud には、クロスサイトリクエストフォージェリの脆弱性が存在します。
想定される影響	第三者により、下記のファイルへのリクエストに対する任意のユーザ認証をハイジャックされる可能性があります。 bookmarks/ajax/ 内の以下のファイル (1) addBookmark.php、(2) delBookmark.php、(3) editBookmark.php calendar/ajax/ 内の以下のファイル (4) calendar/delete.php、(5) calendar/edit.php、(6) calendar/new.php、(7) calendar/update.php、 (8) event/delete.php、(9) event/edit.php、(10) event/move.php、(11) event/new.php、(12) import/import.php、(13) settings/setfirstday.php、(14) settings/settimeformat.php、(15) share/changepermission.php、(16) share/share.php、(17) share/unshare.php apps/ 内の以下のファイル (18) external/ajax/setsites.php、(19) files/ajax/delete.php、(20) files/ajax/move.php、(21) files/ajax/newfile.php、(22) files/ajax/newfolder.php、(23) files/ajax/rename.php、(24) files_sharing/ajax/email.php、(25) files_sharing/ajax/setpermissions.php、(26) files_sharing/ajax/share.php、(27) files_sharing/ajax/toggleresharing.php、(28) files_sharing/ajax/togglesharewitheveryone.php、(29) files_sharing/ajax/unshare.php、(30) files_texteditor/ajax/savefile.php、(31) files_versions/ajax/rollbackVersion.php、(32) gallery/ajax/createAlbum.php、(33) gallery/ajax/sharing.php、(34) tasks/ajax/addtask.php、(35) tasks/ajax/addtaskform.php、(36) tasks/ajax/delete.php、(37) tasks/ajax/edittask.php また、下記のファイルへのリクエストに対する管理者認証をハイジャックされる可能性があります。 settings/ajax/ 内の以下のファイル (38) changepassword.php、(39) creategroup.php、(40) createuser.php、(41) disableapp.php、(42) enableapp.php、(43) lostpassword.php、(44) removegroup.php、(45) removeuser.php、(46) setlanguage.php、(47) setloglevel.php、(48) setquota.php、(49) togglegroups.php
対策	ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
公表日	2012年8月1日0:00
登録日	2012年9月7日16:17
最終更新日	2012年12月19日14:16

CVSS2.0 : 警告
スコア	6.8
ベクター	AV:N/AC:M/Au:N/C:P/I:P/A:P

影響を受けるシステム

ownCloud

ownCloud 4.0.6 未満

CVE (情報セキュリティ共通脆弱性識別子)

No	名前	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2012-4393	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-4393
National Vulnerability Database (NVD)
2	CVE-2012-4393	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2012-4393

CWE (共通脆弱性タイプ一覧)

No	名前	URL
JVNDB
1	CWE-352	https://jvndb.jvn.jp/ja/cwe/CWE-352.html

ベンダー情報

No	名前	URL
GitHub
1	Added CSRF checks	https://github.com/owncloud/core/commit/38271ded753bc9ea9943cef3c2706f8d71f3a58f
2	CSRF checks	https://github.com/owncloud/core/commit/93579d88dcea389205c01ddf6da41f37ad9b8745
ownCloud
3	Changelog	http://owncloud.org/changelog/
4	Several CSRF security fixes (CVE-2012-4393)	http://owncloud.org/security/advisories/CVE-2012-4393/
5	Top Page	http://owncloud.org/

変更履歴

No	変更内容	変更日
0	[2012年09月07日] 掲載 [2012年12月19日] ベンダ情報：ownCloud (Several CSRF security fixes (CVE-2012-4393)) を追加	2018年2月17日10:37

NVD脆弱性情報

CVE-2012-4393

概要	Multiple cross-site request forgery (CSRF) vulnerabilities in ownCloud before 4.0.6 allow remote attackers to hijack the authentication of arbitrary users for requests that use (1) addBookmark.php, (2) delBookmark.php, or (3) editBookmark.php in bookmarks/ajax/; (4) calendar/delete.php, (5) calendar/edit.php, (6) calendar/new.php, (7) calendar/update.php, (8) event/delete.php, (9) event/edit.php, (10) event/move.php, (11) event/new.php, (12) import/import.php, (13) settings/setfirstday.php, (14) settings/settimeformat.php, (15) share/changepermission.php, (16) share/share.php, (17) or share/unshare.php in calendar/ajax/; (18) external/ajax/setsites.php, (19) files/ajax/delete.php, (20) files/ajax/move.php, (21) files/ajax/newfile.php, (22) files/ajax/newfolder.php, (23) files/ajax/rename.php, (24) files_sharing/ajax/email.php, (25) files_sharing/ajax/setpermissions.php, (26) files_sharing/ajax/share.php, (27) files_sharing/ajax/toggleresharing.php, (28) files_sharing/ajax/togglesharewitheveryone.php, (29) files_sharing/ajax/unshare.php, (30) files_texteditor/ajax/savefile.php, (31) files_versions/ajax/rollbackVersion.php, (32) gallery/ajax/createAlbum.php, (33) gallery/ajax/sharing.php, (34) tasks/ajax/addtask.php, (35) tasks/ajax/addtaskform.php, (36) tasks/ajax/delete.php, or (37) tasks/ajax/edittask.php in apps/; or administrators for requests that use (38) changepassword.php, (39) creategroup.php, (40) createuser.php, (41) disableapp.php, (42) enableapp.php, (43) lostpassword.php, (44) removegroup.php, (45) removeuser.php, (46) setlanguage.php, (47) setloglevel.php, (48) setquota.php, or (49) togglegroups.php in settings/ajax/.
公表日	2012年9月6日8:55
登録日	2021年1月28日15:03
最終更新日	2024年11月21日10:42

影響を受けるソフトウェアの構成

構成1		以上	以下	より上	未満
cpe:2.3:a:owncloud:owncloud:4.0.3:::::::*
cpe:2.3:a:owncloud:owncloud:4.0.0:::::::*
cpe:2.3:a:owncloud:owncloud:3.0.3:::::::*
cpe:2.3:a:owncloud:owncloud::::::::			4.0.5
cpe:2.3:a:owncloud:owncloud:4.0.1:::::::*
cpe:2.3:a:owncloud:owncloud:4.0.2:::::::*
cpe:2.3:a:owncloud:owncloud:3.0.0:::::::*
cpe:2.3:a:owncloud:owncloud:3.0.2:::::::*
cpe:2.3:a:owncloud:owncloud:4.0.4:::::::*
cpe:2.3:a:owncloud:owncloud:3.0.1:::::::*

関連情報、対策とツール

No	URL	refsource	タグ
1	http://owncloud.org/changelog/
2	http://owncloud.org/changelog/
3	http://www.openwall.com/lists/oss-security/2012/08/11/1
4	http://www.openwall.com/lists/oss-security/2012/08/11/1
5	http://www.openwall.com/lists/oss-security/2012/09/02/2
6	http://www.openwall.com/lists/oss-security/2012/09/02/2
7	https://github.com/owncloud/core/commit/38271ded753bc9ea9943cef3c2706f8d71f3a58f		Exploit Patch
8	https://github.com/owncloud/core/commit/38271ded753bc9ea9943cef3c2706f8d71f3a58f		Exploit Patch
9	https://github.com/owncloud/core/commit/93579d88dcea389205c01ddf6da41f37ad9b8745		Exploit Patch
10	https://github.com/owncloud/core/commit/93579d88dcea389205c01ddf6da41f37ad9b8745		Exploit Patch

共通脆弱性一覧

No	CWE	名前	URL
1	CWE-352	クロスサイト・リクエスト・フォージェリ（CSRF）	https://cwe.mitre.org/data/definitions/352.html
2	CWE-352	同一生成元ポリシー違反	https://cwe.mitre.org/data/definitions/346.html