製品・ソフトウェアに関する情報

JVN脆弱性詳細

Converse.js の複数の XMPP クライアントの "XEP-0280: Message Carbons" の実装における連絡先を含むユーザになりすまされる脆弱性

タイトル	Converse.js の複数の XMPP クライアントの "XEP-0280: Message Carbons" の実装における連絡先を含むユーザになりすまされる脆弱性
概要	Converse.js の複数の XMPP クライアントの "XEP-0280: Message Carbons" の実装には、連絡先を含むユーザになりすまされる脆弱性が存在します。
想定される影響	リモートの攻撃者により、連絡先を含むユーザになりすまされる可能性があります。
対策	ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
公表日	2017年2月1日0:00
登録日	2017年3月8日15:04
最終更新日	2017年3月8日15:04

影響を受けるシステム

Converse.js

Converse.js 0.8.0 から 1.0.6

Converse.js 2.0.0 から 2.0.4

CVE (情報セキュリティ共通脆弱性識別子)

No	名前	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2017-5858	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-5858
National Vulnerability Database (NVD)
2	CVE-2017-5858	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5858
関連文書
3	CVE-2017-5589+ Multiple XMPP Clients User Impersonation Vulnerability	https://rt-solutions.de/en/2017/02/CVE-2017-5589_xmpp_carbons/

CWE (共通脆弱性タイプ一覧)

No	名前	URL
JVNDB
1	CWE-20	https://jvndb.jvn.jp/ja/cwe/CWE-20.html
2	CWE-346	https://cwe.mitre.org/data/definitions/346.html

ベンダー情報

No	名前	URL
GitHub
1	Prevent forging of messages via carbons.	https://github.com/jcbrand/converse.js/commit/42f249cabbbf5c026398e6d3b350f6f9536ea572

変更履歴

No	変更内容	変更日
0	[2017年03月08日] 掲載	2018年2月17日10:37

NVD脆弱性情報

CVE-2017-5858

概要	An incorrect implementation of "XEP-0280: Message Carbons" in multiple XMPP clients allows a remote attacker to impersonate any user, including contacts, in the vulnerable application's display. This allows for various kinds of social engineering attacks. This CVE is for Converse.js (0.8.0 - 1.0.6, 2.0.0 - 2.0.4).
公表日	2017年2月10日5:59
登録日	2021年1月26日13:26
最終更新日	2024年11月21日12:28

影響を受けるソフトウェアの構成

関連情報、対策とツール

No	URL	タグ
1	http://openwall.com/lists/oss-security/2017/02/09/29	Exploit Mailing List Third Party Advisory
2	http://openwall.com/lists/oss-security/2017/02/09/29	Exploit Mailing List Third Party Advisory
3	http://www.securityfocus.com/bid/96183
4	http://www.securityfocus.com/bid/96183
5	https://github.com/jcbrand/converse.js/commit/42f249cabbbf5c026398e6d3b350f6f9536ea572	Patch
6	https://github.com/jcbrand/converse.js/commit/42f249cabbbf5c026398e6d3b350f6f9536ea572	Patch
7	https://rt-solutions.de/en/2017/02/CVE-2017-5589_xmpp_carbons/	Exploit Technical Description Third Party Advisory
8	https://rt-solutions.de/en/2017/02/CVE-2017-5589_xmpp_carbons/	Exploit Technical Description Third Party Advisory
9	https://rt-solutions.de/wp-content/uploads/2017/02/CVE-2017-5589_xmpp_carbons.pdf	Exploit Technical Description Third Party Advisory
10	https://rt-solutions.de/wp-content/uploads/2017/02/CVE-2017-5589_xmpp_carbons.pdf	Exploit Technical Description Third Party Advisory

共通脆弱性一覧

No	CWE	名前	URL
1	CWE-20	不適切な入力確認	https://cwe.mitre.org/data/definitions/20.html
2	CWE-346	同一生成元ポリシー違反	https://cwe.mitre.org/data/definitions/346.html