FAMLog

IPA（独立行政法人情報処理推進機構）セキュリティセンターおよびJPCERTコーディネーションセンター（JPCERT/CC）が、FileMaker製品のクロスサイトスクリプティング（XSS）脆弱性に関する情報を2014年9月に公開しています。

脆弱性の内容は、FileMaker製品のバージョン12およびそれ以前のバージョンで利用できるインスタントWeb公開機能にクロスサイトスクリプティングの脆弱性が存在するというものです。脆弱性が確認されているFileMaker製品は下記の通りです。

・FileMaker Pro 12およびそれ以前のバージョン
・FileMaker Pro 12 Advancedおよびそれ以前のバージョン
・FileMaker Server 12 Advancedおよびそれ以前のバージョン

上記の脆弱性は、サンプルデータベースの存在がJPCERT/CCによる脆弱性分析結果の評価値が高い一因となっています。この脆弱性を悪用するにはデータベースの管理者権限が必要であり、FileMaker Server Advancedと一緒にインストールされるサンプルデータベース（FMServer_Sampleデータベース）を削除することが脆弱性を緩和する重要な回避策となります。通常の使用範囲では本脆弱性により深刻な影響を受けることはまずあり得ませんが、データベースファイルには必ずパスワードを設定し、出所が不明なデータベースファイルを開かないようにご注意ください。

［関連］FileMaker 12およびそれ以前に存在する脆弱性について（株式会社エミック）