FileZen V4.2.2以前のバージョンにおいて脆弱性詳細不明要アップデート

FileZen V4.2.2以前のバージョンにおいて脆弱性が発見されたそうです。詳細不明ですが、要アップデートです。おそらく攻撃を受けてからの公表ではないからかもしれません。

所謂ゼロデイではないということですね。なので、この脆弱性が判明するまでに適用するほうがいいでしょう。

一部抜粋です。

FileZen V4.2.2以前のバージョンにおいて脆弱性が含まれていることを確認いたしました。
この脆弱性を悪用した攻撃は、V4.2.3(*1)以降では成立いたしません。
FileZenをV4.2.2以前のバージョンでご使用のお客様は、至急最新バージョン(*2)にアップデートしてください。
安全にFileZenをご使用いただくために、常に最新のバージョンでご使用ください。

*1 2019年1月30日にリリース
*2 2020年12月1日現在の最新バージョンは、
　V5.0.0(ST82モデルのみ)およびV4.2.5(DX51モデル/ST81モデル)です。

アップデート用ファームウエアは、サポートサイトからダウンロードできます。
トップ-[サポート]-[ダウンロード]-[FileZen]

～

詳細はこちら。

https://www.soliton.co.jp/support/2020/004274.html

また、構築してからずっと放置している場合は、その他の脆弱性もはらんでいる場合があります。

FileZenに危険度が高い脆弱性を含む複数の脆弱性が存在することが判明いたしました。
ここに、この概要を記します。
既に保守ユーザー様へは連絡済み(※1)ではありますが、
ご利用のFileZenをV4.2.2へ必ずアップデートしてくださいますよう、改めてお願い申し上げます。

1. 対象製品　適用対象バージョン
　FileZen V3.0.0からV4.2.1までの各バージョン

2. 確認された主な脆弱性と影響

　(1) 確認された主な脆弱性
　　・FileZenにログインせず、不正に任意のファイルをアップロードできる脆弱性 (CVE-2018-0693)
　　　CVSS v3 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N 基本値: 9.1
　　　CVSS v2 AV:N/AC:L/Au:N/C:C/I:C/A:N 基本値: 9.4

　　・コマンドインジェクションの脆弱性 (CVE-2018-0694)
　　　CVSS v3 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H 基本値: 10.0
　　　CVSS v2 AV:N/AC:L/Au:N/C:C/I:C/A:C 基本値: 10.0

　　なお、本件は、JPCERT/CC及びIPAへ報告済みです。

　(2) 脆弱性の影響
　　(1)に記載した脆弱性を組み合わせることにより、リモートから任意のコマンドを実行することが可能です。
　　これらの脆弱性を利用した攻撃が成立した場合、
　　FileZenにアップロードしたファイルが窃取される、踏み台にされ、

　　さらなる攻撃に悪用されるなどの可能性があります。

3. 脆弱性への対処方法
　FileZenへ緊急パッチ(V4.2.2)を適用する
　(FileZen V3.0.0からV4.2.1までの各バージョンのままでは回避できません。)

4. FileZen V4.2.2追加機能～監視ログ出力機能の追加
　未知の脆弱性等によるFileZenへの不正な攻撃検知にご活用いただける、
　以下のような監視ログ出力機能を追加いたしました。

　本機能が出力するログは、外部Syslogサーバーに送信することができます。
　・起動用パーティションのファイルスタンプ、および、SHA256ハッシュ値
　・起動後、新たに検知したプロセス
　・ネットワークI/O、FileZenの通信先、ファイル操作
　・CPU、メモリ、ディスクの状態