Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「スタディサプリ」に不具合 - 他利用者としてアクセス可能に

リクルートの個人向けオンライン学習サービス「スタディサプリ 中学講座」のブラウザ版に、関係ない別の利用者としてログイン状態となる不具合が複数存在したことがわかった。

同社によれば、同サービスにおいてアクセストークンの取り扱いに不備があり、本来の利用者とは異なる利用者としてアクセスが行われる複数の不具合が明らかとなったもの。

8月10日に保護者から問い合わせがあり、調査を行ったところ、一部ページへアクセスすると、ログイン時に割り当てられるアクセストークンに問題があり、他利用者としてログインする状態となっていることが同月22日にわかった。

同不具合へ対策を講じた上でさらに調査を進めたところ、ログアウト操作やパスワードリセットを行っても、アクセストークンが正しく削除されないため、特定のログアウト操作を行わないかぎり正しくログアウトできず、ログインした状態のままとなることが同月29日に判明。複数の利用者で同じ端末を利用する場合などに影響を受ける。

これら不具合により、異なる利用者によって登録されている学校やプロフィール、学習履歴などを閲覧されたり、変更されるおそれがあった。閲覧できる情報に氏名やメールアドレス、クレジットカード情報などは含まれていないとしている。

(Security NEXT - 2022/09/09 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

高校生向け施設見学ツアーの申込フォームで設定ミス - 電通大
生徒の個人情報含む教務手帳を紛失 - 立命館守山高校
児童相談所が児童の個人情報をメール誤送信 - 栃木県
「OpenSSH」の脆弱性「regreSSHion」、40以上のCisco製品に影響
中間者攻撃で認証応答を偽造できる脆弱性「Blast-RADIUS」
ServiceNowの「Now Platform」に深刻な脆弱性 - アップデートの実施を
「OpenStack」のモジュールに脆弱性 - 修正パッチが公開
JAXAに不正アクセス - 攻撃起点はVPN、未知マルウェアも
「Apache CloudStack」に複数脆弱性 - アップデートや回避策の実施を
個人情報含む書類を市サイトに誤掲載 - 尼崎市