リモートホストで実行されている Openfire のバージョンは、認証バイパスの脆弱性の影響を受けます。Openfire は、Open Source Apache License でライセンスされている XMPP サーバーです。Web ベースのアプリケーションである Openfire の管理コンソールが、セットアップ環境を介したパストラバーサル攻撃に脆弱であることが判明しました。これにより、認証されていないユーザーが、設定済みの Openfire 環境で認証されていない Openfire セットアップ環境を使用して、管理ユーザー用に予約されている Openfire 管理コンソールの制限されたページにアクセスする可能性がありました。この脆弱性は、バージョン 3.10.0 から 2015 年 4 月以降にリリースされた Openfire のすべてのバージョンに影響を与えます。
この問題は Openfire リリース 4.7.5 および 4.6.8 でパッチされており、さらなる改善は 4.8 ブランチのまだリリースされていない最初のバージョン (バージョン 4.8.0 になる予定) に含まれる予定です。ユーザーにアップグレードすることを推奨します。Openfire アップグレードが特定のリリースで利用できない場合、またはすぐに対処できない場合、ユーザーはリンク先の github アドバイザリ (GHSA-gw42-f939-fhvm) で緩和策を参照してください。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Openfire 3.10 < 4.6.8 / 4.7 < 4.7.5 認証バイパス

high Nessus プラグイン ID 177741

バージョン 1.1