製品・ソフトウェアに関する情報

JVN脆弱性詳細

複数の Websense 製品の調査レポートにおけるクロスサイトスクリプティングの脆弱性

タイトル	複数の Websense 製品の調査レポートにおけるクロスサイトスクリプティングの脆弱性
概要	Websense TRITON AP-WEB、Web Security、Web Filter、Web Security Gateway、および Web Security Gateway Anywhere の調査レポートには、クロスサイトスクリプティングの脆弱性が存在します。
想定される影響	第三者により、(1) Job Queue の Explorer report scheduler (cgi-bin/WsCgiExplorerSchedule.exe) の ReportName (Job Name) パラメータ、あるいは summary report ページの (2) Names または (3) Anonymous (explorer_wse/explorer_anon.exe) の col パラメータを介して、任意の Web スクリプトまたは HTML を挿入される可能性があります。
対策	ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
公表日	2015年2月2日0:00
登録日	2015年3月27日16:13
最終更新日	2015年3月27日16:13

CVSS2.0 : 警告
スコア	4.3
ベクター	AV:N/AC:M/Au:N/C:N/I:P/A:N

影響を受けるシステム

ウェブセンス

Websense TRITON AP-WEB 8.0.0 未満

Websense Web Filter 7.8.3 以上 7.8.3 Hotfix 02 未満

Websense Web Filter 7.8.4 以上 7.8.4 Hotfix 01 未満

Websense Web Security 7.8.3 以上 7.8.3 Hotfix 02 未満

Websense Web Security 7.8.4 以上 7.8.4 Hotfix 01 未満

Websense Web Security Gateway 7.8.3 以上 7.8.3 Hotfix 02 未満

Websense Web Security Gateway 7.8.4 以上 7.8.4 Hotfix 01 未満

Websense Web Security Gateway Anywhere 7.8.3 以上 7.8.3 Hotfix 02 未満

Websense Web Security Gateway Anywhere 7.8.4 以上 7.8.4 Hotfix 01 未満

CVE (情報セキュリティ共通脆弱性識別子)

No	名前	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2014-9711	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-9711
National Vulnerability Database (NVD)
2	CVE-2014-9711	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-9711

CWE (共通脆弱性タイプ一覧)

No	名前	URL
JVNDB
1	CWE-79	https://jvndb.jvn.jp/ja/cwe/CWE-79.html

ベンダー情報

No	名前	URL
Solution Center
1	v7.8.3: About Hotfix 02 for Web Security Solutions	http://www.websense.com/support/article/kbarticle/v7-8-3-About-Hotfix-02-for-Web-Security-Solutions
2	v7.8.4: About Hotfix 01 for Web Security Solutions	http://www.websense.com/support/article/kbarticle/v7-8-4-About-Hotfix-01-for-Web-Security-Solutions
3	Vulnerabilities resolved in TRITON APX Version 8.0	http://www.websense.com/support/article/kbarticle/Vulnerabilities-resolved-in-TRITON-APX-Version-8-0

変更履歴

No	変更内容	変更日
0	[2015年03月27日] 掲載	2018年2月17日10:37

NVD脆弱性情報

CVE-2014-9711

概要	Multiple cross-site scripting (XSS) vulnerabilities in the Investigative Reports in Websense TRITON AP-WEB before 8.0.0 and Web Security and Filter, Web Security Gateway, and Web Security Gateway Anywhere 7.8.3 before Hotfix 02 and 7.8.4 before Hotfix 01 allow remote attackers to inject arbitrary web script or HTML via the (1) ReportName (Job Name) parameter to the Explorer report scheduler (cgi-bin/WsCgiExplorerSchedule.exe) in the Job Queue or the col parameter to the (2) Names or (3) Anonymous (explorer_wse/explorer_anon.exe) summary report page.
公表日	2015年3月25日23:59
登録日	2021年1月26日15:23
最終更新日	2024年11月21日11:21

影響を受けるソフトウェアの構成

構成1	以上	以下	より上	未満
cpe:2.3:a:websense:triton_web_security_gateway::::::::		7.8.3
cpe:2.3:a:websense:triton_web_security_gateway_anywhere::::::::		7.8.3
cpe:2.3:a:websense:triton_web_filter::::::::		7.8.3
cpe:2.3:a:websense:triton_web_security::::::::		7.8.3
cpe:2.3:a:websense:triton_ap_web::::::::		7.8.3

関連情報、対策とツール

No	URL	タグ
1	http://packetstormsecurity.com/files/130903/Websense-Explorer-Report-Scheduler-Cross-Site-Scripting.html	Exploit
2	http://packetstormsecurity.com/files/130903/Websense-Explorer-Report-Scheduler-Cross-Site-Scripting.html	Exploit
3	http://packetstormsecurity.com/files/130905/Websense-Reporting-Cross-Site-Scripting.html	Exploit
4	http://packetstormsecurity.com/files/130905/Websense-Reporting-Cross-Site-Scripting.html	Exploit
5	http://seclists.org/fulldisclosure/2015/Mar/109
6	http://seclists.org/fulldisclosure/2015/Mar/109
7	http://seclists.org/fulldisclosure/2015/Mar/110
8	http://seclists.org/fulldisclosure/2015/Mar/110
9	http://www.securityfocus.com/archive/1/534915/100/0/threaded
10	http://www.securityfocus.com/archive/1/534915/100/0/threaded
11	http://www.securityfocus.com/archive/1/534917/100/0/threaded
12	http://www.securityfocus.com/archive/1/534917/100/0/threaded
13	http://www.websense.com/support/article/kbarticle/v7-8-3-About-Hotfix-02-for-Web-Security-Solutions	Vendor Advisory
14	http://www.websense.com/support/article/kbarticle/v7-8-3-About-Hotfix-02-for-Web-Security-Solutions	Vendor Advisory
15	http://www.websense.com/support/article/kbarticle/v7-8-4-About-Hotfix-01-for-Web-Security-Solutions	Vendor Advisory
16	http://www.websense.com/support/article/kbarticle/v7-8-4-About-Hotfix-01-for-Web-Security-Solutions	Vendor Advisory
17	http://www.websense.com/support/article/kbarticle/Vulnerabilities-resolved-in-TRITON-APX-Version-8-0	Vendor Advisory
18	http://www.websense.com/support/article/kbarticle/Vulnerabilities-resolved-in-TRITON-APX-Version-8-0	Vendor Advisory
19	https://www.securify.nl/advisory/SFY20140911/cross_site_scripting_vulnerability_in_websense_explorer_report_scheduler.html	Exploit
20	https://www.securify.nl/advisory/SFY20140911/cross_site_scripting_vulnerability_in_websense_explorer_report_scheduler.html	Exploit
21	https://www.securify.nl/advisory/SFY20140914/multiple_cross_site_scripting_vulnerabilities_in_websense_reporting.html	Exploit
22	https://www.securify.nl/advisory/SFY20140914/multiple_cross_site_scripting_vulnerabilities_in_websense_reporting.html	Exploit

共通脆弱性一覧

No	CWE	名前	URL
1	CWE-79	クロスサイト・スクリプティング（XSS）	https://cwe.mitre.org/data/definitions/79.html