004-008795
[CyVDB-693]ログインユーザーに関するサービス運用妨害 (DoS) の脆弱性
- 種別
- 脆弱性
- 機能
-
- 通信
- 再現バージョン
-
- 3.0.0
- 3.1.0
- 3.1.1
- 3.1.2
- 改修バージョン
- 3.1.3
- 公開日
- 2015-06-19
- 更新日
- 2015-06-19
詳細
【準備】
- リモートサービスマネージャーで、製品/ユーザーを追加します。
例：
---------------
製品名：サイボウズ ガルーン 4
利用ユーザー：ユーザー1
--------------- - iPhone端末にKUNAIをインストールし、シンクします。
【再現手順】
- ユーザー1でKUNAIにログインし、シンクします。
- リモートサービスマネージャーにログインします。
- 「リモートサービスの運用管理」の[製品/ユーザーの管理] ＞ [利用ユーザーの設定]の順にクリックします。
- ユーザー1のチェックボックスを選択し、[利用ユーザーから削除する] ＞ [はい]の順にクリックします。
- 再度、ユーザー1でKUNAIをシンクし、次のエラーを発生させます。
---------------
エラーが発生しました。
リモートサービスとの通信に失敗しました。
エラー番号：
CBMB_Remote_00001
原因：
リモートサービスからの応答：C210002E
--------------- - 手順5のシンクを繰り返します。
→現象発生：
システムリソースが枯渇し、運用妨害 (DoS) を受ける可能性があります。
補足：
- 次のエラーが発生します。
---------------
エラーが発生しました。
リモートサービスとの通信に失敗しました。
エラー番号：
CBMB_Remote_00001
原因：
リモートサービスからの応答：C140003E
--------------- - Webブラウザーを使用して、C210002Eエラーが発生した場合も、同様の現象が発生します。
- リモートサービスマネージャーで、製品/ユーザーを追加します。
例：
---------------
製品名：サイボウズ ガルーン 4
利用ユーザー：ユーザー1
--------------- - リモートサービス経由で、製品にアクセスします。
- リモートサービスマネージャーで利用ユーザーに追加していないログイン名で、製品にログインし、次のエラーを発生させます。
---------------
エラー番号：C210002E
サイボウズ製品への接続が許可されていません。
原因：利用ユーザーとして登録されていません。
--------------- - ログイン前画面で、手順3のログインを繰り返します。
- リモートサービスマネージャーで、製品/ユーザーを追加します。
- リモートサービスを利用できるすべてのサイボウズ製品で、同様の現象が発生します。
---------------
脆弱性タイプ：
- リソース管理の問題
脆弱性の基本評価：
- 攻撃元区分(AV)：ネットワーク
- 攻撃条件の複雑さ(AC)：低
- 攻撃前の認証要否(Au)：単一（攻撃前に認証（ログイン等）が必要である）
- 機密性への影響(C)：なし
- 完全性への影響(I)：なし
- 可用性への影響(A)：全面的（システムを停止させることが可能である）
CVSS基本値：
- 6.8（レベルⅡ）
補足：
- 脆弱性の評価については共通脆弱性評価システム「CVSS v2」を利用しています。
http://www.ipa.go.jp/security/vuln/CVSS.html
回避/対応方法
【回避方法】
次のバージョンの製品で本現象を改修しています。バージョンアップを検討してください。
- バージョン 3.1.3のリモートサービス
【対応方法】
リモートサービスマネージャーを再起動します。