「楽々Document Plus」にディレクトリトラバーサルの脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は12月4日、住友電工情報システム株式会社が提供する「楽々Document Plus」にディレクトリトラバーサルの脆弱性が存在すると「Japan Vulnerability Notes（JVN）」で発表した。

　「楽々Document Plus Ver.3.2.0.0 から Ver.6.4.0.7まで」には、ディレクトリトラバーサルの脆弱性（CVE-2023-49108）が存在する。CVSS v3による基本値は6.8。この脆弱性が悪用されると、当該製品の特定の権限を持つユーザによって、サーバ上の任意のファイルを取得または削除される可能性がある。

　なお、開発者によるとVer.6.1.1.3a は本脆弱性の影響を受けないとしている。

　開発者は影響を受けるバージョン向けに修正パッチを提供しており、JVNではパッチを適用するよう呼びかけている。また、開発者はワークアラウンドの適用も推奨している。この脆弱性を修正した「楽々Document Plus Ver.6.5.0.0」の提供は、2024年1月を予定している。

　この脆弱性情報は、GMOサイバーセキュリティ byイエラエ株式会社の安里眞夢氏がIPAに報告した。