国交省の「国土数値情報データ変換ツール」に脆弱性 - 削除呼びかけ

国土交通省の「国土数値情報データ変換ツール」に脆弱性が明らかとなった。同省では同ツールの利用を中止し、削除するよう呼びかけている。

同ツールは、国土数値情報をシェープファイル形式に変換できるソフトウェア。JPGIS準拠データに対応したGISアプリケーションが普及するまでの暫定措置として無償提供を行っていた。

今回あらたに細工された「XMLファイル」を読み込むと任意のファイルにアクセスされるおそれがあるXML外部実体参照（XXE）の脆弱性「CVE-2023-25955」が明らかとなったもの。

JPCERTコーディネーションセンターでは共通脆弱性評価システム「CVSSv3.0」のベーススコアは「2.5」と評価している。

NECの外山拓氏、松本康平氏より情報処理推進機構（IPA）に報告があり、JPCERTコーディネーションセンターが調整を実施した。脆弱性の判明を受け、国土交通省では同ツールの公開を中止。製品の使用を中止し、同ツールを削除するよう呼びかけている。

（Security NEXT - 2023/04/05 ）ツイート