JVN#33453839
Office Server Document Converter における複数の XML 外部実体参照 (XXE) に関する脆弱性

アンテナハウス株式会社が提供する Office Server Document Converter には、複数の XML 外部実体参照 (XXE) に関する脆弱性が存在します。

• Office Server Document Converter (Server Based Converter)
  • V7.2MR4 およびそれ以前
  • V7.1MR7 およびそれ以前
  • V7.0MR6 およびそれ以前
  • V6.1MR8 およびそれ以前
  • V6.0MR11 およびそれ以前
  • V5.2MR13 およびそれ以前

アンテナハウス株式会社が提供する Office Server Document Converter には、次に挙げる複数の XML 外部実体参照 (XXE) に関する脆弱性が存在します。

• XML 外部実体参照 (XXE) に関する脆弱性 (CWE-611) - CVE-2021-20838
  PDF 変換サーバのリソース枯渇が発生する。

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L	基本値: 5.3
  CVSS v2	AV:N/AC:L/Au:N/C:N/I:N/A:P	基本値: 5.0



• XML 外部実体参照 (XXE) に関する脆弱性 (CWE-611) - CVE-2021-20839
  他サーバに対する大量のアクセスが発生する。

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:L	基本値: 7.2
  CVSS v2	AV:N/AC:L/Au:N/C:N/I:P/A:P	基本値: 6.4

想定される影響は各脆弱性により異なりますが、細工された XML ドキュメントを当該製品で処理すると、次のような影響を受ける可能性があります。

• 当該製品が動作しているサーバが、サービス運用妨害 (DoS) 攻撃を受ける - CVE-2021-20838
• 他サーバに対するサービス運用妨害 (DoS) 攻撃を実行される - CVE-2021-20839

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。