Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

国交省の「国土数値情報データ変換ツール」に脆弱性 - 削除呼びかけ

国土交通省の「国土数値情報データ変換ツール」に脆弱性が明らかとなった。同省では同ツールの利用を中止し、削除するよう呼びかけている。

同ツールは、国土数値情報をシェープファイル形式に変換できるソフトウェア。JPGIS準拠データに対応したGISアプリケーションが普及するまでの暫定措置として無償提供を行っていた。

今回あらたに細工された「XMLファイル」を読み込むと任意のファイルにアクセスされるおそれがあるXML外部実体参照(XXE)の脆弱性「CVE-2023-25955」が明らかとなったもの。

JPCERTコーディネーションセンターでは共通脆弱性評価システム「CVSSv3.0」のベーススコアは「2.5」と評価している。

NECの外山拓氏、松本康平氏より情報処理推進機構(IPA)に報告があり、JPCERTコーディネーションセンターが調整を実施した。脆弱性の判明を受け、国土交通省では同ツールの公開を中止。製品の使用を中止し、同ツールを削除するよう呼びかけている。

(Security NEXT - 2023/04/05 ) このエントリーをはてなブックマークに追加

PR

関連記事

「じゃらん」を装うフィッシング - 「旅行支援金」口実に誘導
「MOVEit Transfer」の脆弱性、脅迫グループが悪用か
チーム向けパスワード管理ツール「TeamPass」に脆弱性
「MOVEit Transfer」にゼロデイ脆弱性 - 侵害状況も確認を
福島原発事故の追加賠償に関する請求書を誤送付 - 東電
講座受講者宛のメールで「CC」送信 - 八代市
個人情報含む手帳を紛失、3月にも - 室蘭総合病院
「Apache Tomcat」に脆弱性 - 過去の修正が不完全で
LINE公式アカウントで非公開のクーポンが表示される不具合
Zyxel製機器の脆弱性、積極的な悪用も - あらたな脆弱性も判明