CVE-2022-41954 in Primavera Unifier
要約
〜によって VulDB • 2026年05月09日
MPXJは、さまざまなファイル形式やデータベースからプロジェクトプランを読み書きするためのオープンソースライブラリです。Unix系オペレーティングシステム（WindowsやmacOSを除く）において、MPXJが `File.createTempFile(..)` を使用すると、一時ファイルが `-rw-r--r--` の権限で作成されます。これにより、システム上の他のユーザーはファイルの内容を読み取ることができます。MPXJがスケジュールファイルを読み込み、一時ファイルまたはディレクトリの作成を必要とする場合、知識のあるローカルユーザーは使用中のこれらの一時的なファイルを特定し、MPXJが処理中のスケジュールの内容を読み取ることが可能になります。この問題は修正されており、MPXJバージョン10.14.1以降には必要な変更が含まれています。アップグレードが不可能なユーザーは、`java.io.tmpdir` をアプリケーションを実行しているユーザーのみがアクセスできるディレクトリに設定することで、他のユーザーによるこれらの一時ファイルへのアクセスを防止できます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.