この記事は、2022年7月13日に Hyland 社から配信された Alfresco Content Services セキュリティ脆弱性に関する件名「Alfresco Content Services security bulletin」のメールを日本語翻訳し、必要な情報を補足しています。

脆弱性の概要

このアドバイザリでは、Alfresco Content Services で確認された、High レベルの重要度の３つのセキュリティ脆弱性について発表します。

管理者権限を持つユーザーが、悪意のあるコードをテンプレートに挿入することでサーバーサイドテンプレートインジェクションを実行し、リモートコード実行（RCE）できる可能性があります。

脆弱性の対応について

Hyland Engineering チームがこの問題を確認し、影響を受けるリリースごとに修正プログラム (hotfix) を作成しました。

影響を受けるすべてのお客様には、デプロイされたバージョンの Alfresco Content Services に関連する修正プログラムをインストールすることを強くお勧めします。

Hotfix をインストールする前の注意

この Hotfix をインストールする前に、次の考慮事項を確認してください。

Alfresco Content Services のセキュリティを強化するために、追加の機能変更が実装されています。そのため、修正プログラムを環境に適用する前に、カスタマイズを確認することをお勧めします。
問題を発見した場合は、修正プログラムを実装する前にカスタマイズを変更する必要がある可能性があります。
修正プログラムのインストールを実行する前にカスタマイズについて疑問がある場合は、Alfresco ExtensionInspector を使用してカスタマイズの詳細を確認してください。
修正プログラムのインストールプロセスを開始する前に、既存のデプロイに Alfresco リポジトリと Alfresco データベースのバックアップがあることを確認してください。

Hotfix 入手方法

以下の手順は、 Hyland Community にログインする必要があります。

リックソフト経由で製品を購入されている場合は、リックソフトのヘルプデスクで Hotfix をお渡ししますので、以下フォームからご依頼をお願いします。

https://www.ricksoft.jp/helpdesk/servicedesk/customer/portal/13/create/87

Hyland Community > Support > Software Downloads の右側「Technical Support Secure Downloads」枠内の File Name 欄に該当バージョンの修正プログラムのバージョンのファイル名をコピー＆ペーストし、Submit をクリック後に出現するダウンロードリンクから入手できます。

「alfresco-content-services-distribution-7.2.0.2.zip」を入手する例は以下の通りです。

Alfresco Content Services version	修正プログラムのファイル名
7.2.0.2	alfresco-content-services-distribution-7.2.0.2.zip
7.1.1.3	alfresco-content-services-distribution-7.1.1.3.zip
7.0.1.7	alfresco-content-services-distribution-7.0.1.7.zip
6.2.2.23	alfresco-content-services-distribution-6.2.2.23.zip

サポート対象外のバージョンをご利用の場合

サポートされていないバージョンでは、修正プログラムは使用できません。
これらのお客様は、本脆弱性に対処し、将来の脆弱性を軽減するために、最新の Alfresco Content Services プラットフォームにアップグレードすることをお勧めします。