お知らせ

2023/07/20
2023/07/24　更新
2023/07/26　更新(軽微な文面調整)
2023/07/28　更新
2023/08/03　更新
2023/08/14　更新
2023/08/17　更新
2023/08/24　更新

本脆弱性に対しCVE番号が割り当てられましたため、お知らせの件名、内容を更新いたしました。

• Proself Ver5.61以下
• Proself Gateway Edition Ver1.62以下
• Proself Mail Sanitize Edition Ver1.07以下

• 「◆現在脆弱性が悪用された攻撃を受ける状態かどうか」に該当している場合はお手数ですが以下を実施ください。
  
  
  • ウイルススキャン設定をご利用されていないお客様につきましては、 Proself管理画面 > システム設定 > システム > ウイルススキャン設定の「使用する」を"ON"から"OFF"に変更ください。
    
  • ウイルススキャン設定をご利用されているお客様につきましては Proself管理画面 > システム設定 > システム > ウイルススキャン設定の「ウイルススキャンのコマンドライン」を書き換え前の設定に戻してください。
    
  ※どちらも設定変更時にはセキュリティチェックダイアログが表示され、指定したファイルをサーバー上に配置いただく必要がございます。
  
• 暫定回避策
  以下ファイルをProselfとは関係のない場所に移動、または削除ください。
  
  ※脆弱性が悪用されたどうかに関わらず全てのお客様が対象です。
  
  Proselfインストールフォルダ/webapps/proself/WEB-INF/xml/process/external/admin 配下の以下2ファイル
  

  • downloadhistory.xml
  • setclustermyid.xml
  ※他ディレクトリにある同名ファイルの移動、削除は必要ございません。
  
  ※Proselfのサービス再起動は不要です。
  
  ※Proselfインストールフォルダのパスにつきましては、以下FAQに記載している手順で確認できます。
  https://www.proself.jp/support/faq433/
  
  
  本ファイルを退避することにより管理者権限での認証バイパスが可能なプログラムを呼び出すURLを無効化することができます。
  なお、「downloadhistory.xml」 は過去のバージョンで使用していたファイルでして現在は使用しておらず、「setclustermyid.xml」 はクラスタリング設定に使用するファイルでして、構築時には使用するものの運用時には使用しませんため、移動または削除によるProselfへの動作影響はございません。
  
• 恒久策
  本お知らせ冒頭に記載しております通り、本脆弱性の対応を行ったProself Ver5.62、Proself Gateway Edition Ver1.65、Proself Mail Sanitize Edition Ver1.08をリリース済みですので、アップデートを実施くださいますようお願いいたします。