Proself に XML 外部実体参照（XXE）に関する脆弱性、悪用した攻撃も確認

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は10月18日、Proself における XML 外部実体参照（XXE）に関する脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。

Proself Enterprise/Standard Edition Ver5.62 およびそれ以前
Proself Gateway Edition Ver1.65 およびそれ以前
Proself Mail Sanitize Edition Ver1.08 およびそれ以前

　株式会社ノースグリッドが提供するオンラインストレージサーバ Proself には、XML 外部実体参照（XXE）に関する脆弱性が存在し、細工されたリクエストに含まれる不正な XML データを当該製品が処理することで、サーバ上のアカウント情報を含む任意のファイルを窃取される可能性がある。

　ノースグリッドでは既に、本脆弱性を悪用した攻撃を確認しており、JVNでは開発者が提供する情報をもとに、修正バージョンが公開されている場合は最新版へアップデートするよう呼びかけている。

　ノースグリッドによると、アップデート版を適用するまでの間は暫定対応を実施することで、本脆弱性の影響を回避することができるため、JVNではノースグリッドが提供する情報を確認するよう呼びかけている。

　なお下記のバージョンについては、サポートが終了しており、アップデートはリリースされないため、利用を停止するか Ver.5 以降の後継製品への乗り換えを検討を推奨している。

Proself Enterprise/Standard Edition Ver.4 およびそれ以前