製品・ソフトウェアに関する情報

JVN脆弱性詳細

Majordomo 2 におけるディレクトリトラバーサルの脆弱性

Title	Majordomo 2 におけるディレクトリトラバーサルの脆弱性
Summary	Majordomo 2 には、_list_file_get() 関数の処理に起因するディレクトリトラバーサルの脆弱性が存在します。 Majordomo 2 には、ファイルを処理する際 _list_file_get() 関数 (lib/Majordomo.pm) の入力値検証エラーに起因するディレクトリトラバーサルの脆弱性が存在します。
Possible impacts	遠隔の第三者によって、サーバー内のファイルを取得される可能性があります。
Solution	[アップデートする] 開発者が提供する情報をもとに最新版へアップデートしてください。開発者の Changelog によると、本脆弱性は 20110125 で修正されています。なお、20110204 にて対策方法の改良が行われています。20110204 以降のバージョンに更新することをお勧めします。
Publication Date	Feb. 7, 2011, midnight
Registration Date	March 3, 2011, 4:47 p.m.
Last Update	March 3, 2011, 4:47 p.m.

Affected System

Majordomo 2

Majordomo 2 20110125 より前のバージョン

CVE (情報セキュリティ共通脆弱性識別子)

No	Name	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2011-0049	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-0049
National Vulnerability Database (NVD)
2	CVE-2011-0049	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2011-0049

CWE (共通脆弱性タイプ一覧)

No	Name	URL
JVNDB
1	CWE-22	https://jvndb.jvn.jp/ja/cwe/CWE-22.html

ベンダー情報

No	Name	URL
Majordomo 2
1	Majordomo 2	http://www.mj2.org
2	Majordomo 2 snapshots 201102	http://ftp.mj2.org/pub/mj2/snapshots/2011-02/

その他

No	Name	URL
ISS X-Force Database
1	65113	http://xforce.iss.net/xforce/xfdb/65113
JVN
2	JVNVU#363726	http://jvn.jp/cert/JVNVU363726
OPEN SOURCE VULNERABILITY DATABASE (OSVDB)
3	70762	http://osvdb.org/70762
Secunia Advisory
4	SA43125	http://secunia.com/advisories/43125
SecurityFocus
5	46127	http://www.securityfocus.com/bid/46127
SecurityTracker
6	1025024	http://securitytracker.com/id?1025024
US-CERT Vulnerability Note
7	VU#363726	http://www.kb.cert.org/vuls/id/363726
VUPEN Security
8	VUPEN/ADV-2011-0288	http://www.vupen.com/english/advisories/2011/0288

Change Log

No	Changed Details	Date of change
0	[2011年03月03日] 掲載	Feb. 17, 2018, 10:37 a.m.

NVD Vulnerability Information

CVE-2011-0049

Summary	Directory traversal vulnerability in the _list_file_get function in lib/Majordomo.pm in Majordomo 2 before 20110131 allows remote attackers to read arbitrary files via .. (dot dot) sequences in the help command, as demonstrated using (1) a crafted email and (2) cgi-bin/mj_wwwusr in the web interface.
Publication Date	Feb. 4, 2011, 10 a.m.
Registration Date	Jan. 28, 2021, 4:37 p.m.
Last Update	Nov. 21, 2024, 10:23 a.m.

Affected software configurations

Related information, measures and tools

No	URL	タグ
1	http://osvdb.org/70762
2	http://secunia.com/advisories/43125	Vendor Advisory
3	http://securityreason.com/securityalert/8061
4	http://www.exploit-db.com/exploits/16103
5	http://www.kb.cert.org/vuls/id/363726	US Government Resource
6	http://www.securityfocus.com/archive/1/516150/100/0/threaded
7	http://www.securityfocus.com/bid/46127	Exploit
8	http://www.securitytracker.com/id?1025024
9	http://www.vupen.com/english/advisories/2011/0288
10	https://bug628064.bugzilla.mozilla.org/attachment.cgi?id=506481	Patch
11	https://bugzilla.mozilla.org/show_bug.cgi?id=628064	Exploit Patch
12	https://exchange.xforce.ibmcloud.com/vulnerabilities/65113
13	https://sitewat.ch/en/Advisory/View/1	Exploit URL Repurposed
14	http://osvdb.org/70762
15	https://sitewat.ch/en/Advisory/View/1	Exploit URL Repurposed
16	https://exchange.xforce.ibmcloud.com/vulnerabilities/65113
17	https://bugzilla.mozilla.org/show_bug.cgi?id=628064	Exploit Patch
18	https://bug628064.bugzilla.mozilla.org/attachment.cgi?id=506481	Patch
19	http://www.vupen.com/english/advisories/2011/0288
20	http://www.securitytracker.com/id?1025024
21	http://www.securityfocus.com/bid/46127	Exploit
22	http://www.securityfocus.com/archive/1/516150/100/0/threaded
23	http://www.kb.cert.org/vuls/id/363726	US Government Resource
24	http://www.exploit-db.com/exploits/16103
25	http://securityreason.com/securityalert/8061
26	http://secunia.com/advisories/43125	Vendor Advisory

Common Vulnerabilities List

No	CWE	Name	URL
1	CWE-22	パス・トラバーサル	https://cwe.mitre.org/data/definitions/22.html