Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「スタディサプリ」に不具合 - 他利用者としてアクセス可能に

リクルートの個人向けオンライン学習サービス「スタディサプリ 中学講座」のブラウザ版に、関係ない別の利用者としてログイン状態となる不具合が複数存在したことがわかった。

同社によれば、同サービスにおいてアクセストークンの取り扱いに不備があり、本来の利用者とは異なる利用者としてアクセスが行われる複数の不具合が明らかとなったもの。

8月10日に保護者から問い合わせがあり、調査を行ったところ、一部ページへアクセスすると、ログイン時に割り当てられるアクセストークンに問題があり、他利用者としてログインする状態となっていることが同月22日にわかった。

同不具合へ対策を講じた上でさらに調査を進めたところ、ログアウト操作やパスワードリセットを行っても、アクセストークンが正しく削除されないため、特定のログアウト操作を行わないかぎり正しくログアウトできず、ログインした状態のままとなることが同月29日に判明。複数の利用者で同じ端末を利用する場合などに影響を受ける。

これら不具合により、異なる利用者によって登録されている学校やプロフィール、学習履歴などを閲覧されたり、変更されるおそれがあった。閲覧できる情報に氏名やメールアドレス、クレジットカード情報などは含まれていないとしている。

(Security NEXT - 2022/09/09 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

サーバやパソコンにサイバー攻撃 - JR西日本関連会社
ネットバンク不正送金被害が8月下旬より急増 - わずか2カ月で上半期上回る勢い
ネットバンクの不正送金被害が激増 - 前年同期の約40倍に
スルガ銀のフィッシングに注意う- 本人確認を求める手口
SIA、「ファクトチェックセンター」を設置 - 真偽検証して情報配信
複数テナント管理やSBOM読込に対応した脆弱性管理ツール
WAFルールセット「OWASP CRS」に深刻な脆弱性 - 「ModSecurity」とあわせて更新を
モジュール型WAF「ModSecurity」がアップデート - セキュリティ上の複数問題へ対処
「GMOクリック証券」を装ったフィッシングに注意
「Security Days Fall 2022」を10月にリアル開催 - 配信なし