Ignite Realtime Openfire のパストラバーサルの脆弱性（CVE-2023-32315）

何が起きた

チャット用サーバーの Openfire で、管理コンソール（ウェブの管理画面）にパストラバーサルの弱点が見つかりました。設定がすでに終わっている環境でも、初期設定用の画面を経由して、管理者だけが見られるはずのページにアクセスできてしまいます。ネットワーク経由で、ログインしていない攻撃者が悪用でき、実際の悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Ignite Realtime の Openfire を使っている組織が対象です。メーカーの勧告によると、2015年4月以降に出た 3.10.0 以降のすべてのバージョンが影響を受け、修正版は 4.6.8 と 4.7.5 です。

何をすればいい

Openfire が 4.7.5 または 4.6.8 以降に更新されているか確認してください。すぐに更新できない場合、メーカーは、管理コンソールが使うポート 9090 と 9091 への接続を信頼できる相手だけに制限することなどを回避策として挙げています。あわせて、公式の案内（GHSA-gw42-f939-fhvm）を確認してください。

やることチェックリスト

• Openfire を 4.7.5 か 4.6.8 以降に更新する
• ポート 9090 と 9091 への接続を信頼できる相手に限る
• 古いプラグインを勧告にある版以降に更新する

用語メモ

パストラバーサル

ファイルやページの場所を指定する文字列を細工して、本来は入れない場所にアクセスする攻撃です。

管理コンソール

ソフトの設定や管理を行うための画面です。Openfire ではウェブブラウザで開く管理画面を指します。