「Proself」に対するゼロデイ攻撃で情報流出被害 - 国立環境研究所

国環研では、攻撃者によってサーバよりダウンロードされたファイルの一覧を把握しており、対象となる個人情報の件数など影響について精査を進めている。

また事態の発覚を受けて個人情報保護委員会へ報告するとともに、対象となる関係者と連絡を取っているが、悪用などは確認されていない。

個人情報以外のデータについても窃取された可能性があり、あわせて調査を進めている。同法人ではファイル交換サーバを通じて機密性が高い情報のやり取りは行わないようルールを定めていたとしており、知的財産をはじめとする機密情報の流出といった影響については限定的と見ている。

今回悪用された「CVE-2023-45727」は、「XML外部実体参照（XXE）」の脆弱性。「Proself」の提供元であるノースグリッドでは10月4日に脆弱性を確認し、10月10日にセキュリティアドバイザリを公開。10月17日より順次アップデートが提供されている。

（Security NEXT - 2023/10/31 ） ツイート

PR

関連記事

「MS 365」に不正ログイン、個人情報流出の可能性 - 日経米子会社
開示文書の墨塗り個人情報、出力ミスで参照可能に - 北九州市
事業者宛てメールで複数の誤送信が判明 - 公共施設の管理運営会社
米当局、脆弱性3件の悪用を警告 - 「Ivanti EPMM」「PAN-OS」は緊急対応を
Linuxカーネルに権限昇格の脆弱性「Copy Fail」 - PoC公開済み
「Spring Cloud Config」にパストラバーサルなど複数脆弱性
動作確認ページ残存、ボランティア登録者メアドが閲覧可能に - 名古屋市
複数脆弱性を修正した「Firefox 150.0.2」をリリース - Mozilla
「Firefox」にアップデート - 「クリティカル」脆弱性を解消
暗号化通信ライブラリ「GnuTLS」に複数脆弱性 - アップデートで修正