JPCERT/CC開発の「SIG情報連携ポータル」に複数の脆弱性

JPCERTコーディネーションセンターの「CISTA」にて利用されている「SIG情報連携ポータル」に脆弱性が明らかとなった。利用しているケースに対しては、調整を経てパッチの適用や提供を実施済みだという。

「SIG情報連携ポータル」は、同センターが脅威情報や分析情報などを特定の利用者向けに提供したり、業界間の情報共有などが行える「CISTA（Collective Intelligence Station for Trusted Advocates）」においてプラットフォームとして採用されているソフトウェア。同センターが開発を手がける。

「同4.7.7」から「同4.4.0」までの「API」における認可処理に脆弱性「CVE-2023-38751」や「CVE-2023-38752」が明らかとなった。「API」の利用権限を持つユーザーによって、「非開示」と指定された情報提供先の組織情報や投稿者の属性情報を閲覧することが可能だった。

いずれも共通脆弱性評価システム「CVSSv3.0」のベーススコアは「3.5」と評価されている。

同脆弱性は、同センターの根岸祐介氏が報告したもので調整を経て公表した。アップデートを用意しており、同センターによれば7月20日までに同ソフトウェアが稼働するすべての利用ケースに対してパッチの適用、提供などを実施済みだという。

また以前より調整を進めてきた脆弱性であり、内閣サイバーセキュリティセンター（NISC）などが公表したメール関連システムの脆弱性とは無関係の脆弱性としている。

（Security NEXT - 2023/08/07 ） ツイート

PR

関連記事

新聞広告に誤った二次元コード、誘導先に個人情報 - 広島県
給付認定の通知書を誤送付、送付先リストを作成ミス - 福岡市
患者情報含むUSBメモリが所在不明 - 長崎みなとメディカルセンター
「nginx」に複数のクリティカル脆弱性 - 修正版が公開
システム設定で変更ミス、一部データが消失 - 厚労省
豆腐通販サイトで決済アプリ改ざん - 個人情報流出の可能性
「Splunk」向けのAI拡張ツールに複数の脆弱性
「Cisco ISE」にRCE脆弱性 - 端末の接続に影響するおそれも
「Chrome」が脆弱性33件を修正 - 「クリティカル」7件
「Cortex XSOAR」「XSIAM」向け「CommvaultSecurityIQ」連携に脆弱性