最近の脆弱性 › CVE-2018-18809

TIBCO JasperReports のパストラバーサルの脆弱性（CVE-2018-18809）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2018-18809
製品	TIBCO JasperReports
深刻度（CVSS）	6.5 警告CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N`
KEVへの追加日	2022-12-29
米国政府機関の対応期限	2023-01-19
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-22

何が起きた

帳票（レポート）を作るソフト TIBCO JasperReports の標準のサーバー部分に、フォルダーの外のファイルまでたどれてしまう弱点（ディレクトリトラバーサル）が見つかりました。悪用されると、Web サーバーの利用者がサーバー本体の中身を見られるおそれがあります。NVD の評価では、ネットワーク経由で、一般利用者程度の権限を持つ攻撃者が悪用できます。実際に悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

TIBCO JasperReports Library、JasperReports Server、それぞれの Community Edition や ActiveMatrix BPM 向け、AWS 向けの Jaspersoft を使っている組織が対象です。例えば JasperReports Library は 6.3.4 以前、6.4.1、6.4.2、6.4.21、7.1.0、7.2.0、JasperReports Server は 6.3.4 以前、6.4.0 から 6.4.3、7.1.0 が影響を受けます。

何をすればいい

TIBCO が示す修正版に更新してください。例えば JasperReports Library は 6.3.5、6.4.22、7.1.1、7.2.1 以降、JasperReports Server は 6.3.5、6.4.4、7.1.1 以降、Community Edition の Library は 6.7.1 以降です。ほかの製品の修正版は、公式の案内（TIBCO の勧告）で確認してください。

やることチェックリスト

JasperReports の製品名と版を調べる
Server の6.4系は6.4.4以降に更新する
Library の7.1.0は7.1.1以降に更新する

用語メモ

ディレクトリトラバーサル: ファイルの場所の指定を細工して、本来見られないフォルダーのファイルを読み出す攻撃や弱点のことです。
Community Edition: 無料で使える版として配られている、製品の一つの版のことです。

元データ（英語・CISA KEV より）

TIBCO JasperReports Library Directory Traversal Vulnerability

概要

TIBCO JasperReports Library contains a directory-traversal vulnerability that may allow web server users to access contents of the host system.

推奨対応

Apply updates per vendor instructions.