SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性

概要

EGセキュアソリューションズ株式会社が提供するSiteGuard Server Editionには、OSコマンドインジェクションの脆弱性が存在します。

影響を受ける製品

• SiteGuard Server Edition Ver2.20およびそれ以降のバージョン
  • ただし、IIS版についてはVer3.10からVer4.00 Update4のバージョンは本脆弱性の影響を受けません。

なお、当該製品において統計機能が有効な場合に本脆弱性の影響を受けます（初期値は有効）。

想定される影響・悪用状況

当該製品が動作するサーバ上で、rootまたはSYSTEM権限で任意のOSコマンドが実行される可能性があります。

深刻度

本脆弱性のCVSSスコアは次の通りです。
CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N 基本値 8.5
CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H 基本値 7.8

対策

アップデートパッチ適用：ソフトウェアやファームウエアに発見された脆弱性や不具合を修正するための更新プログラムを適用し、システムを安全な状態に保つこと。詳しく見る →する
開発者が提供する情報をもとに、最新版へアップデートしてください。
本脆弱性は次のバージョンで修正されています。

• Apache版、Nginx版、IIS版：Ver8.00 Update5
• FreeBSD Apache版、Nginx版：Ver7.00 Update6

パッチを適用する
開発者はバージョンアップが困難な利用者向けに、統計処理の対象ファイルを差し替えるパッチを提供しています（サポート終了バージョンを含む）。
なお、開発者は2026年9月29日に直接サポート契約がある利用者へ本脆弱性の存在と対策（バージョンアップ、個別パッチ）を通知しています。
詳細は開発者が提供する情報を確認してください。