製品・ソフトウェアに関する情報

JVN脆弱性詳細

Microsoft .NET Framework の XML DTD パーサにおける任意のファイルを読まれる脆弱性

Title	Microsoft .NET Framework の XML DTD パーサにおける任意のファイルを読まれる脆弱性
Summary	Microsoft .NET Framework の XML DTD パーサには、任意のファイルを読まれる脆弱性が存在します。本件は、XML 外部エンティティ (XXE) の問題に関する脆弱性です。マイクロソフトセキュリティ情報には、この脆弱性は「.NET の情報漏えいの脆弱性」と記載されています。
Possible impacts	第三者により、エンティティ参照に関連する外部エンティティ宣言を介して、任意のファイルを読まれる可能性があります。
Solution	ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
Publication Date	Nov. 10, 2015, midnight
Registration Date	Nov. 13, 2015, 1:59 p.m.
Last Update	Nov. 13, 2015, 1:59 p.m.

Affected System

マイクロソフト

Microsoft .NET Framework 2.0 SP2

Microsoft .NET Framework 3.5

Microsoft .NET Framework 3.5.1

Microsoft .NET Framework 4

Microsoft .NET Framework 4.5

Microsoft .NET Framework 4.5.1

Microsoft .NET Framework 4.5.2

Microsoft .NET Framework 4.6

CVE (情報セキュリティ共通脆弱性識別子)

No	Name	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2015-6096	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-6096
National Vulnerability Database (NVD)
2	CVE-2015-6096	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-6096

CWE (共通脆弱性タイプ一覧)

No	Name	URL
JVNDB
1	CWE-200	https://jvndb.jvn.jp/ja/cwe/CWE-200.html

ベンダー情報

No	Name	URL
Microsoft Security Bulletin
1	MS15-118	https://technet.microsoft.com/en-us/library/security/ms15-118.aspx
マイクロソフトセキュリティ情報
2	MS15-118	https://technet.microsoft.com/ja-jp/library/security/ms15-118.aspx

その他

No	Name	URL
IPA 重要なセキュリティ情報
1	Microsoft 製品の脆弱性対策について(2015年11月)	https://www.ipa.go.jp/security/ciadr/vul/20151111-ms.html
JPCERT 注意喚起
2	JPCERT-AT-2015-0039	https://www.jpcert.or.jp/at/2015/at150039.html
警察庁 @police
3	マイクロソフト社のセキュリティ修正プログラムについて(MS15-112,113,114,115,116,117,118,119,120,121,122,123)(2015年11月11日)	https://www.npa.go.jp/cyberpolice/topics/?seq=17197

Change Log

No	Changed Details	Date of change
0	[2015年11月13日] 掲載	Feb. 17, 2018, 10:37 a.m.

NVD Vulnerability Information

CVE-2015-6096

Summary	The XML DTD parser in Microsoft .NET Framework 2.0 SP2, 3.5, 3.5.1, 4, 4.5, 4.5.1, 4.5.2, and 4.6 allows remote attackers to read arbitrary files via an external entity declaration in conjunction with an entity reference, related to an XML External Entity (XXE) issue, aka ".NET Information Disclosure Vulnerability."
Publication Date	Nov. 11, 2015, 9:59 p.m.
Registration Date	Jan. 26, 2021, 2:53 p.m.
Last Update	Nov. 21, 2024, 11:34 a.m.

Affected software configurations

Configuration1	or higher	or less	more than	less than
cpe:2.3:a:microsoft:.net_framework:4.0:::::::*
cpe:2.3:a:microsoft:.net_framework:4.5.1:::::::*
cpe:2.3:a:microsoft:.net_framework:4.5.2:::::::*
cpe:2.3:a:microsoft:.net_framework:2.0:sp2::::::
cpe:2.3:a:microsoft:.net_framework:4.6:::::::*
cpe:2.3:a:microsoft:.net_framework:4.5:::::::*
cpe:2.3:a:microsoft:.net_framework:3.5:::::::*
cpe:2.3:a:microsoft:.net_framework:3.5.1:::::::*

Related information, measures and tools

No	URL	refsource	タグ
1	http://www.securitytracker.com/id/1034116
2	http://www.securitytracker.com/id/1034116
3	https://docs.microsoft.com/en-us/security-updates/securitybulletins/2015/ms15-118
4	https://docs.microsoft.com/en-us/security-updates/securitybulletins/2015/ms15-118

Common Vulnerabilities List

Configuration1	or higher	or less	more than	less than
cpe:2.3:a:microsoft:.net_framework:4.0:::::::*
cpe:2.3:a:microsoft:.net_framework:4.5.1:::::::*
cpe:2.3:a:microsoft:.net_framework:4.5.2:::::::*
cpe:2.3:a:microsoft:.net_framework:2.0:sp2::::::
cpe:2.3:a:microsoft:.net_framework:4.6:::::::*
cpe:2.3:a:microsoft:.net_framework:4.5:::::::*
cpe:2.3:a:microsoft:.net_framework:3.5:::::::*
cpe:2.3:a:microsoft:.net_framework:3.5.1:::::::*