TIBCO JasperReports の情報漏えいの脆弱性（CVE-2018-5430）

何が起きた

TIBCO の JasperReports Server の Spring web flows という部分に、ログイン済みの利用者なら誰でも、Web アプリケーションの中身を読み取れてしまうおそれがある弱点が見つかりました。読まれるおそれがあるものには、重要な設定ファイルも含まれます。この弱点は、実際に悪用されたことが確認されています。攻撃者はネットワーク経由で悪用でき、一般利用者程度の権限（ログイン）が必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

TIBCO JasperReports Server の 6.2.4 以前と、6.3.0、6.3.2、6.3.3、6.4.0、6.4.2 を使っている組織が対象です。TIBCO JasperReports Server Community Edition、TIBCO JasperReports Server for ActiveMatrix BPM、TIBCO Jaspersoft for AWS with Multi-Tenancy、TIBCO Jaspersoft Reporting and Analytics for AWS は、6.4.2 以前が対象です。

何をすればいい

CVE の記録（TIBCO が出したもの）によると、TIBCO JasperReports Server の 6.2.4 以前は 6.2.5 以上、6.3.0、6.3.2、6.3.3 は 6.3.4 以上、6.4.0 と 6.4.2 は 6.4.3 以上に更新します。Community Edition、for ActiveMatrix BPM、Jaspersoft for AWS with Multi-Tenancy、Jaspersoft Reporting and Analytics for AWS は、6.4.3 以上に更新します。あわせて、TIBCO の公式の案内（セキュリティ勧告）を確認してください。

やることチェックリスト

• 6.2.4 以前は 6.2.5 以上に更新する
• 6.3.0〜6.3.3 は 6.3.4 以上に更新する
• 6.4 系や AWS 版は 6.4.3 以上に更新する

用語メモ

Web アプリケーション

ブラウザーから使う仕組みのソフトウェアです。サーバーの上で動きます。

設定ファイル

ソフトウェアの動き方や接続先などを書いておくファイルです。パスワードなど大事な情報が入っていることもあります。

ログイン済み

ID とパスワードなどで本人確認を済ませ、サービスを使える状態になっていることです。