【注意喚起】acmailerにおける脆弱性について

最新掲載：2025年2月19日

～ 脆弱性に関して ～

このたび エクストライノベーション株式会社が提供する「acmailer」におきまして、
セキュリティ上の問題(クロスサイト・スクリプティングの脆弱性) が確認されました。
------------------------------------------
影響を受けるシステム
・acmailer CGI ver.4.0.5およびそれ以前
------------------------------------------
※参照：JVN#84319378　acmailerにおけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN84319378/index.html

acmailerを提供しているエクストライノベーション株式会社からも脆弱性と対処の方法について、
Webサイトで告知がされております。
■[重要] acmailer 7 r.5501 / acmailer Premium 1.59 の提供を開始（セキュリティアップデート）
https://www.sixapart.jp/movabletype/news/2023/10/25-1100.html

【この脆弱性への対応方法】
# 以下ご提案については、弊社で緊急で調査したものとなります。
# 動作やデータの安全性は保証いたしかねますので、作業いただく際はお客様ご自身の責任で
# 行っていただきますようお願いいたします。

この脆弱性は、「acmailer CGI ver.4.0.6」へバージョンアップすることで対策強化が可能とのことです。
■acmailer公式サイト情報：https://acmailer.jp/info/de.cgi?id=113
インストールはされているもののご使用ではない場合は、サーバーから削除いただくなどの
ご対応をお願いいたします。

acmailerのインストール有無の確認

1．acmailerのインストール手順で設置ディレクトリ名を「acmailer」するよう指示がされていますので、
　Webサーバー上に「acmailer」というディレクトリが無いかのご確認をお願いいたします。
　※ディレクトリを「acmailer」としなくてもインストール自体は可能なようです。

2．以下のようなacmailerのcgiファイルが存在していないかの確認をお願いいたします。
　・email_send_check.cgi
　・email_send_ctl.cgi
　・email_list.cgi
　・admin_edit.cgi
　・init_ctl.cgi　※インストール後に削除されている可能性があります
　・install.cgi　※インストール後に削除されている可能性があります

acmailerのバージョン確認方法

lib/setup.cgiファイルをFTPでダウンロードしてください。
setup.cgiファイル内に「$SYS->{version} = 'バージョン情報';」の記載がございますので、
こちらでご確認ください。

ご不明点などございましたら、サポート窓口 までお問い合わせください。

何卒よろしくお願いいたします。

以上
サーバ・ネットワーク事業部