CVE-2022-31194

概要

DSpaceオープンソースソフトウェアは、デジタルリソースへの永続的なアクセスを提供するリポジトリアプリケーションです。dspace-jspuiはDSpaceのUIコンポーネントです。SubmissionControllerおよびFileUploadRequestにおけるJSPUIの再開可能アップロード実装は、複数のパストラバーサル攻撃に対して脆弱であり、攻撃者が提出中にいくつかのリクエストパラメータを変更することで、Tomcat/DSpaceユーザーが書き込み可能なサーバー上の任意の場所にファイル/ディレクトリを作成できる可能性があります。このパストラバーサルは、特別な権限（提出者権限）を持つユーザーのみが実行できます。この脆弱性はJSPUIにのみ影響します。ユーザーはアップグレードすることをお勧めします。既知の回避策はありません。ただし、この脆弱性は匿名ユーザーや基本ユーザーによって悪用されることはありません。ユーザーはまず少なくとも1つのコレクションに対する提出者権限を持ち、脆弱性を悪用するためにリクエストパラメータを変更する方法を決定できる必要があります。

• DSpace__DSpace_CVE-2022-31194_5-10パッチ

  DSpaceリポジトリソフトウェアのセキュリティパッチは、CVE-2022-31194（Javaベースのデジタル資産管理プラットフォームの脆弱性）に対応します。