Cybozu

ガルーン | 不具合情報公開サイト

不具合No:
No: 001-009707

製品
種別
脆弱性
機能
  • メッセージ
再現バージョン
  • 3.0.0
  • 3.0.1
  • 3.0.2
  • 3.0.3
  • 3.1.0
  • 3.1.1
  • 3.1.2
  • 3.1.3
  • 3.5.0
  • 3.5.1
  • 3.5.2
  • 3.5.3
  • 3.5.4
  • 3.5.5
  • 3.7.0
  • 3.7.1
  • 3.7.2
  • 3.7.3
  • 3.7.4
  • 3.7.5
  • 4.0.0
  • 4.0.1
  • 4.0.2
  • 4.0.3
  • 4.2.0
  • 4.2.1
  • 4.2.2
  • 4.2.3
改修バージョン
4.2.4

登録:
2016年09月30日
更新:
2016年11月25日


現象詳細と回避/対応方法を掲載しています。

[CyVDB-1051]コマンドライン(delete_messages.csp)を使用してメッセージを一括で削除したあとに、 宛先から削除されたユーザーのメッセージが復活し、更新される場合がある。

詳細

【発生条件】

 

次の条件をすべて満たす場合に発生します。

  • バージョン 2.5.4以前のガルーンで、社内メールの宛先からユーザーを削除する。(※1)

  • バージョン 3.0.0以降のガルーンで、該当のメッセージに、次のどちらかまたは両方の操作を行う。(※2)

    • メッセージの内容を変更する
    • コメントを書き込む

  • バージョン 3.0.0以降のガルーンで、コマンドラインを使用して、メッセージを一括で削除する。

  • メッセージの一括削除時、「削除する基準の日」に、(※1)以降、かつ(※2)以前の日付を指定する。

 

【準備】

  • バージョン 2.5.4以前のガルーンをインストールします。

  • ユーザーを追加します。

    例:
    • ユーザー1
    • ユーザー2

  • ユーザー1で、社内メールを送信します。

    例:
    ----------------
    標題:社内メール1
    宛先:ユーザー1、ユーザー2
    ----------------

  • ユーザー1で、社内メール1の宛先からユーザー2を削除します。

    削除日の例:
    2013/10/01

  • バージョン 3.0.0以降のガルーンへバージョンアップします。

 

【再現手順】

  1. ユーザー1でアプリケーション画面にログインし、[メッセージ] > [送信箱] > [社内メール1]の順にクリックします。

  2. 社内メール1に、次のどちらかまたは両方の操作を行います。

    • メッセージの内容を変更する
    • コメントを書き込む

    最終更新日の例:
    2015/10/01

  3. コマンドラインを開きます。

  4. CGI実行ディレクトリーに移動します。

    例:
    Windowsの場合:
    cd C:\Inetpub\scripts\cbgrn

    Linuxの場合:
    cd /var/www/cgi-bin/cbgrn

  5. 期間を指定してメッセージの一括削除を実行します。

    削除する基準の日の例:
    2014/10/01

    補足:
    • beforeに、準備で社内メール1の宛先からユーザー2を削除した日付以降で、かつ手順2の操作を行った日付(最終更新日)以前の日付を指定します。
      メッセージの最終更新日が、beforeで指定した日付以前の日付であるメッセージが削除対象になります。

    バージョン 3.7.5以前のガルーンの場合:
    • Windowsの場合:
      .\grn_command.exe -f code\command\delete_messages.csp before=2014-10-01 exec

    • Linuxの場合:
      ./grn_command -f code/command/delete_messages.csp before=2014-10-01 exec

    バージョン 4.0.0以降のガルーンの場合:
    • Windowsの場合:
      .\grn.exe -C -q code\command\delete_messages.csp before=2014-10-01 exec

    • Linuxの場合:
      ./grn.cgi -C -q code/command/delete_messages.csp before=2014-10-01 exec

  6. ユーザー2でアプリケーション画面にログインし、[メッセージ] > [受信箱]の順にクリックします。

 

→現象発生:
 ユーザー2の受信箱に社内メール1が表示され、手順2の更新内容が確認できます。

 

----------

脆弱性タイプ:

  • 認可・権限・アクセス制御

 

脆弱性の基本評価:

  • 攻撃元区分(AV):ネットワーク
  • 攻撃条件の複雑さ(AC):高
  • 必要な特権レベル(PR):高(攻撃前にコンポーネントに対する管理者権限相当での認証(ログイン等)が必要である)
  • ユーザ関与レベル(UI):不要
  • 影響の想定範囲(S):変更なし(影響範囲が脆弱性のあるコンポーネントに留まる)
  • 機密性への影響(C):低(影響が限定的である)
  • 完全性への影響(I):なし
  • 可用性への影響(A):なし

 

CVSS基本値:

  • 2.2(Low/注意)
対応方法

【回避方法】

 

次の方法で回避できます。

 

バージョン 3.7.5以前のガルーンの場合:

 

バージョン 3.7.5のガルーンにバージョンアップ後、この記事に添付された、脆弱性を改修するためのパッチプログラムを適用します。

パッチプログラムは次のページからダウンロードできます。
パッチプログラムを適用する手順は、付属のreadme.txtを確認してください。

 

ダウンロードURL:https://support.cybozu.com/ja/article/9707#file_kb

 

  • [Windows版] Garoon20161011Patch-3_7-sp5.zip
    サイズ: 24.9 KB (25,533 バイト)
    MD5: 703765A5BED4DB879F23D70302254975

  • [Linux版] Garoon20161011Patch-3_7-sp5.tar
    サイズ: 37.0 KB (37,888 バイト)
    MD5: 34A4A50B93ACA2CC7F32678AE084BCA6

 

バージョン 3.7.5用のパッチプログラムで改修できる脆弱性は、次の1件です。

  • コマンドライン(delete_messages.csp)を使用してメッセージを一括で削除したあとに、宛先から削除されたユーザーのメッセージが復活し、更新される場合がある。(本件)

 

バージョン 4.0.0以降のガルーンの場合:

次のどちらかの方法で回避できます。

  • バージョン 4.2.4のガルーンにバージョンアップします。
  • バージョン 4.2.3にバージョンアップ後、この記事に添付された、脆弱性を改修するためのパッチプログラムを適用します。

    パッチプログラムは次のページからダウンロードできます。
    パッチプログラムを適用する手順は、付属のreadme.txtを確認してください。

    ダウンロードURL:https://support.cybozu.com/ja/article/9707#file_kb

    • [Windows版] Garoon20161011Patch-4_2-sp3.zip
      サイズ: 32.6 KB (33,392 バイト)
      MD5: EE2E6A2A07F5FBC05D0DEC77E8908C88

    • [Linux版] Garoon20161011Patch-4_2-sp3.tar
      サイズ: 55.5 KB (56,832 バイト)
      MD5: 9A845ECA48001A36B565DE5118C1E67A

    バージョン 4.2.3用のパッチプログラムで改修できる脆弱性は、次の1件です。
    • コマンドライン(delete_messages.csp)を使用してメッセージを一括で削除したあとに、宛先から削除されたユーザーのメッセージが復活し、更新される場合がある。(本件)

 

------------------------------------------------------------
【更新履歴】

2016/11/25 改修バージョンに「4.2.4」を設定しました。

2016/11/04 改修バージョンにNext versionを設定しました。

2016/10/12 発生条件を更新しました。

修正プログラム
【サイボウズ株式会社 不具合情報公開サイト ご利用上の注意】
  • お客様およびパートナー(以下、「お客様等」といいます。)は、サイボウズ製品の不具合に関する情報の収集および当該不具合の解消を目的(以下、「本目的」といいます。)とする場合においてのみ、本規約に記載の条件の下、無償で本サイト上にて提供情報等を使用することができます。
  • サイボウズは、提供情報等に含まれた機能等がお客様の要求を満足させるものであること、正常に作動すること、瑕疵(いわゆるバグ、構造上の問題等を含む)が存していた場合に、これが修正されること、のいずれも保証いたしません。
  • サイボウズは、本サイトの利用の結果により、お客様等が何らかの損害を被ったとしても何ら責任を負いません。
  • Internet Explorer 8でパッチプログラムをダウンロードすると、正常にダウンロードできない場合があります。 Internet Explorer 8以外のブラウザーでダウンロードをしてください。

詳細

名称
[Windows版] Garoon20161011Patch-3_7-sp5.zip
ファイル
Garoon20161011Patch-3_7-sp5.zip
(24.93 KB)
ハッシュ値(MD5)
703765a5bed4db879f23d70302254975

詳細

名称
[Linux版] Garoon20161011Patch-3_7-sp5.tar
ファイル
Garoon20161011Patch-3_7-sp5.tar
(37 KB)
ハッシュ値(MD5)
34a4a50b93aca2cc7f32678ae084bca6

詳細

名称
[Windows版] Garoon20161011Patch-4_2-sp3.zip
ファイル
Garoon20161011Patch-4_2-sp3.zip
(32.61 KB)
ハッシュ値(MD5)
ee2e6a2a07f5fbc05d0dec77e8908c88

詳細

名称
[Linux版] Garoon20161011Patch-4_2-sp3.tar
ファイル
Garoon20161011Patch-4_2-sp3.tar
(55.5 KB)
ハッシュ値(MD5)
9a845eca48001a36b565de5118c1e67a
関連記事
フィードバックをお寄せください
この情報は役に立ちましたか?
  •  
  •  
  •  
  •  
  •  
  •