CVE-2024-28039
FitNesseのユーザによって、機微な情報の窃取、データの改ざんおよびサービス運用妨害 (DoS) 攻撃が行われる脆弱性
報告者
西谷 完太
脆弱性の概要
FitNesse（※）のユーザによって悪意のあるXMLをアップロードし、
XML外部エンティティ参照 (XXE) の不適切な制限 により機微な情報の窃取、およびサービス運用妨害 (DoS) 攻撃が行われる脆弱性。
※FitNesse・・・Webブラウザで動作する、テスターや開発者が利用するテスト自動化ツール
影響を受けるシステムおよびバージョン
FitNesse すべてのリリース
脆弱性が悪用された場合の影響
攻撃者は本来アクセスできないはずの情報にアクセスしたり、内部システムに影響を及ぼしたりすることが可能になります。
それにより以下の様な事が可能となります
- ・機微な情報の窃取
- ・別のシステムへの踏み台
- ・サーバダウン
脆弱性が悪用された場合の影響（図1）
脆弱性が悪用された場合の影響（図2）
脆弱性が悪用された場合の影響（図3）
