脆弱性の概要

このアドバイザリでは、Alfresco Content Services で確認された、High レベルの重要度の３つのセキュリティ脆弱性について発表します。

管理者権限を持つユーザーが、悪意のあるコードをテンプレートに挿入することでサーバーサイドテンプレートインジェクションを実行し、リモートコード実行（RCE）できる可能性があります。

脆弱性の対応について

Hyland Engineering チームがこの問題を確認し、影響を受けるリリースごとに修正プログラム (hotfix) を作成しました。

影響を受けるすべてのお客様には、デプロイされたバージョンの Alfresco Content Services に関連する修正プログラムをインストールすることを強くお勧めします。

Hotfix をインストールする前の注意

この Hotfix をインストールする前に、次の考慮事項を確認してください。

• Alfresco Content Services のセキュリティを強化するために、追加の機能変更が実装されています。そのため、修正プログラムを環境に適用する前に、カスタマイズを確認することをお勧めします。
  問題を発見した場合は、修正プログラムを実装する前にカスタマイズを変更する必要がある可能性があります。

• 修正プログラムのインストールを実行する前にカスタマイズについて疑問がある場合は、Alfresco ExtensionInspector を使用してカスタマイズの詳細を確認してください。

• 修正プログラムのインストールプロセスを開始する前に、既存のデプロイに Alfresco リポジトリと Alfresco データベースのバックアップがあることを確認してください。

Hotfix 入手方法 

Hyland Community > Support > Software Downloads の 右側「Technical Support Secure Downloads」枠内の File Name 欄に該当バージョンの 修正プログラムのバージョンのファイル名をコピー＆ペーストし、Submit をクリック後に出現するダウンロードリンクから入手できます。

「alfresco-content-services-distribution-7.2.0.2.zip」を入手する例は以下の通りです。

サポート対象外のバージョンをご利用の場合

サポートされていないバージョンでは、修正プログラムは使用できません。
これらのお客様は、本脆弱性に対処し、将来の脆弱性を軽減するために、最新の Alfresco Content Services プラットフォームにアップグレードすることをお勧めします。