Rapid7は2月7日(米国時間)、「Multiple DMS XSS (CVE-2022-47412 through CVE-20222-47419)｜Rapid7 Blog」において、オープンソースおよびフリーミアム版の文書管理システム(DMS: Document Management System)にパッチ未適用の複数の脆弱性があることを伝えた。ONLYOFFICE、OpenKM、LogicalDOC、Mayanが提供する文書管理システムに、8つの脆弱性が存在することが明らかとなった。
-
Multiple DMS XSS (CVE-2022-47412 through CVE-20222-47419)｜Rapid7 Blog
公開された欠陥はどれもクロスサイトスクリプティング(XSS: Cross-Site Scripting)の脆弱性とされている。主な内容は次のとおり。
| ベンダ | 製品 | バージョン | CVE |
|---|---|---|---|
| ONLYOFFICE | Workspace | 12.1.0.1760 | CVE-2022-47412 |
| OpenKM | OpenKM | 6.3.12 | CVE-2022-47413 |
| OpenKM | OpenKM | 6.3.12 | CVE-2022-47414 |
| LogicalDOC | LogicalDOC CE/Enterprise | 8.7.3/8.8.2 | CVE-2022-47415 |
| LogicalDOC | LogicalDOC Enterprise | 8.8.2 | CVE-2022-47416 |
| LogicalDOC | LogicalDOC CE/Enterprise | 8.7.3/8.8.2 | CVE-2022-47417 |
| LogicalDOC | LogicalDOC CE/Enterprise | 8.7.3/8.8.2 | CVE-2022-47418 |
| Mayan | Mayan EDMS | 4.3.3 | CVE-2022-47419 |
これらの問題はすべてRapid7の研究者によって発見され、同社のセキュリティ科学チームにより検証されている。また、対象のDMSを提供するベンダーに対し報告済みであり、CERT Coordination Center (CERT/CC)と開示を調整したことも伝えられている。
対象となるDMSを使用しているユーザーは未知または信頼できないソースからの文書取り込み時に注意を払い、匿名ユーザーの作成やチャットやタグ付けなどの一部の機能を制限するなどの緩和策を実施することが推奨されている。
