重要脆弱性情報 脆弱性概要 公開日: 2023年5月21日 報告元: CERT Polskaに報告 影響バージョン: 2.17.5未満の全バージョン 脆弱性詳細 CVE-2025-1415 種類: 誤った認可 (CWE-863) 説明: 低権限ユーザーは、Proget MDM上で実行されたタスクの情報および、UUIDsといった制御対象デバイスの詳細情報を取得できる。この情報はCVE-2025-1416の攻撃に悪用される可能性がある。 CVE-2025-1416 種類: 誤った認可 (CWE-863) 説明: Proget MDMにおいて、低権限ユーザーは管理対象デバイスのパスワードを取得し、その後機能を使用して工場出荷時設定への復元を実行できる。これには、攻撃対象デバイスのUUIDsを知る必要があり、これらはCVE-2025-1415の悪用によって入手可能となる可能性がある。 CVE-2025-1417 種類: 誤った認可 (CWE-863) 説明: Proget MDMにおいて、低権限ユーザーは、MDMで管理される全デバイスのバックアップにある変更情報（ユーザーID、メールアドレス、氏名、デバイスUUIDs）にアクセスできる。後者の情報は、CVE-2025-1416の攻撃に悪用される可能性がある。 CVE-2025-1418 種類: 誤った認可 (CWE-863) 説明: 低権限ユーザーは、Proget MDMで作成されたプロファイルの情報をアクセスできる。このプロファイルには、許可/禁止された機能に関する詳細が含まれる。プロファイルには機密情報（接続中のデバイスを含む）は表示されない。 CVE-2025-1419 種類: Webページ生成時の入力不中和 (XSSまたはクロスサイトスクリプティング) (CWE-79) 説明: Konsola Progetのコメント欄に入力されたデータが適切に不中和されていないため、高権限ユーザーによる保管型クロスサイトスクリプティング（Stored XSS）攻撃が可能になる。 CVE-2025-1420 種類: Webページ生成時の入力不中和 (XSSまたはクロスサイトスクリプティング) (CWE-79) 説明: Konsola Progetにおける入力フィールド が適切に不中和されていないため、高権限ユーザーによる保管型クロスサイトスクリプティング（Stored XSS）攻撃が可能になる。 CVE-2025-1421 種類: CSVファイル内の式要素の不中和 (CWE-1236) 説明: リクエストで提供されるデータは、新規デバイスのアクティベーション時にデータベースに格納される。他の高権限ユーザーはこのデータをCSVファイルとしてダウンロードし、Microsoft Excelなどで開くことができる。攻撃者はこの手段を通じてユーザーのPCへのリモートアクセスを実現できる可能性がある。 修正 修正バージョン: Proget バージョン 2.17.5 謝辞 報告者: Marcin Węglowski (AFINE)