Trusted Design

CVE-2018-18809 の詳細

CVEの情報

説明:
The default server implementation of TIBCO Software Inc.'s TIBCO JasperReports Library, TIBCO JasperReports Library Community Edition, TIBCO JasperReports Library for ActiveMatrix BPM, TIBCO JasperReports Server, TIBCO JasperReports Server Community Edition, TIBCO JasperReports Server for ActiveMatrix BPM, TIBCO Jaspersoft for AWS with Multi-Tenancy, and TIBCO Jaspersoft Reporting and Analytics for AWS contains a directory-traversal vulnerability that may theoretically allow web server users to access contents of the host system. Affected releases are TIBCO Software Inc.'s TIBCO JasperReports Library: versions up to and including 6.3.4; 6.4.1; 6.4.2; 6.4.21; 7.1.0; 7.2.0, TIBCO JasperReports Library Community Edition: versions up to and including 6.7.0, TIBCO JasperReports Library for ActiveMatrix BPM: versions up to and including 6.4.21, TIBCO JasperReports Server: versions up to and including 6.3.4; 6.4.0; 6.4.1; 6.4.2; 6.4.3; 7.1.0, TIBCO JasperReports Server Community Edition: versions up to and including 6.4.3; 7.1.0, TIBCO JasperReports Server for ActiveMatrix BPM: versions up to and including 6.4.3, TIBCO Jaspersoft for AWS with Multi-Tenancy: versions up to and including 7.1.0, TIBCO Jaspersoft Reporting and Analytics for AWS: versions up to and including 7.1.0.

CVE更新日: 2019-03-07 22:29:00.323000

CVSSバージョン: 3.1

CVSSスコア: 6.5

KEVの情報

KEV更新日: 2022-12-29

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.790640000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2018-18809に関する調査結果を以下に解説します。

1. 脆弱性の概要

TIBCO Software Inc.が提供するTIBCO JasperReports Libraryおよび関連製品のデフォルトサーバー実装に、ディレクトリトラバーサルの脆弱性が存在します。この脆弱性により、ウェブサーバーのユーザーがホストシステム上のファイルコンテンツにアクセスできる可能性があります。

1.1 影響

攻撃者はこの脆弱性を悪用することで、ホストシステム上のファイルに不正にアクセスし、機密情報や資格情報、その他のシステムへのアクセス権を窃取する可能性があります。特に機密性への影響は高いと評価されています。

1.2 深刻度

  • NVD (National Vulnerability Database) による評価: CVSS v3.1基本スコアは6.5（警告/Medium）です。
    • CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
  • TIBCO Software Inc. (CNA) による評価: CVSS v3.0基本スコアは9.9（緊急/Critical）と評価しています。
  • Snyk による評価: 8.7（高/High）と評価しています。
  • CISA (Cybersecurity and Infrastructure Security Agency) の既知の悪用された脆弱性カタログへの追加: このCVEはCISAのKnown Exploited Vulnerabilities Catalogに掲載されており、実世界での悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

特定のOSバージョンに限定されるものではなく、TIBCO JasperReports製品自体に存在する脆弱性です。

2.2 影響を受ける設定

この脆弱性は、TIBCO JasperReports Libraryのデフォルトサーバー実装におけるディレクトリトラバーサル（CWE-22）として分類されています。

影響を受ける製品とバージョン:

  • TIBCO JasperReports Library: バージョン6.3.4まで、および6.4.1、6.4.2、6.4.21、7.1.0、7.2.0
  • TIBCO JasperReports Library Community Edition: バージョン6.7.0まで
  • TIBCO JasperReports Library for ActiveMatrix BPM: バージョン6.4.21まで
  • TIBCO JasperReports Server: バージョン6.3.4まで、および6.4.0、6.4.1、6.4.2、6.4.3、7.1.0
  • TIBCO JasperReports Server Community Edition: バージョン6.4.3まで、および7.1.0
  • TIBCO JasperReports Server for ActiveMatrix BPM: バージョン6.4.3まで
  • TIBCO Jaspersoft for AWS with Multi-Tenancy: バージョン7.1.0まで
  • TIBCO Jaspersoft Reporting and Analytics for AWS: バージョン7.1.0まで

3. 影響を受けた時の兆候

この脆弱性が悪用された際の具体的な兆候（Indicators of Compromise）は、参照した情報源には明示されていません。ただし、ホストシステム上のファイルへの不正アクセスや、機密情報の窃取などが考えられます。

4. 推奨対策

4.1 本対策

ベンダーの指示に従ってアップデートを適用することが推奨されます。 具体的には、影響を受けるコンポーネントをアップグレードしてください。 net.sf.jasperreports:jasperreports パッケージの場合、バージョン6.7.1以降にアップグレードしてください。 この脆弱性は、2018年4月および2019年3月にリリースされたアップデートで修正されています。

4.2 暫定回避策（緩和策）

この脆弱性に対する具体的な暫定回避策（緩和策）は、参照した情報源には明示されていません。

参照サイト

NVDサイト

NVDでCVEの詳細を見る

戻る