Security

検索バー
Security Alert に戻る

ClamAV HFS+ セキュリティアドバイザリ: CVE-2023-20032

Note: please note that Liferay has renamed its Liferay Experience Could offerings to Liferay SaaS (formerly LXC) and Liferay PaaS (formerly LXC-SM).

リファレンス:

重要度: クリティカル

脆弱性の概要

ClamAV バージョン 1.0.0 以前、0.105.1 以前、および 0.103.7 以前のHFS+ パーティションファイルパーサーの脆弱性により、認証されていないリモートの攻撃者が任意のコードを実行する可能性があります。

Liferay PaaS のお客様、および ClamAV をインストールして使用しているオンプレミスで DXP および Liferay Portal EE を使用しているお客様は、バージョン 1.0.1、0.103.8、または 0.105.2 にアップグレードすることをお勧めします。 ClamAV を使用していないお客様には、影響はありません。

Liferay SaaS をご利用のお客様は保護されています。

懸念点は何ですか？

CVE-2023-20032 は、ClamAVが悪意のあるファイルをスキャンした際に発生するリモートコード実行の脆弱性です。Liferay製品はClamAVソフトウェアを実装しておらず、デフォルトのインストールでは脆弱性はありません。

Liferay DXP と Liferay Portal は、ClamAVがLiferay DXP/Portalのドキュメントライブラリをスキャンする、あるいは一時フォルダ（例えば /tmp や<<tomcat>>/tempフォルダ）をスキャンするよう設定されている場合、脆弱性が存在する可能性があります。

この脆弱性を悪用する攻撃者は、Liferay DXP/Portal のファイルにアクセスできます。 ClamAVのオペレーティングシステムのユーザー権限によっては、攻撃者がアクセスをエスカレートして、DXP/Portal インストールの完全な制御を取得する可能性があります。

影響を受けているかどうかをどのように検出できますか？

Liferay SaaS をご利用のお客様は保護されています。

Liferay PaaS のお客様は GitHub、BitBucket、またはGitLabリポジトリを確認する必要があります。また、Liferay Cloudコンソールのサービスを使用して、ご利用のDockerイメージのバージョンを確認できます。オプションで、シェルアクセスを使ってClamAVのバージョンを確認することも可能です。

オンプレミスのお客様は、OSコマンドでClamAVの実行バージョンを確認できます。

  • clamscan --version
  • clamd --version

影響を軽減するにはどうすればいいですか？

アップロードされたファイルのウイルス対策スキャンを有効にするで説明したように、ClamAVを別のサーバで実行するように設定することで、影響を最小限に抑えることができます。

ClamAVのアップグレードはどのようにすればよいですか？

Liferay PaaSでClamAVのDockerイメージを使用しているお客様は、最新バージョンを取得し、標準のLXC-SMサービスと同様にビルドとデプロイを行う必要があります。

LinuxサーバーでClamAVを実行しているお客様は、OSのパッケージマネージャーを使用するか、https://www.clamav.net/download から直接ソフトウェアをダウンロードし、インストールしてください。

ご質問がある場合

追加情報については、Liferayサポートまたはカスタマーサクセスマネージャーにお問い合わせください。

On this page