「Proself」に対するゼロデイ攻撃で情報流出被害 - 国立環境研究所

国環研では、攻撃者によってサーバよりダウンロードされたファイルの一覧を把握しており、対象となる個人情報の件数など影響について精査を進めている。

また事態の発覚を受けて個人情報保護委員会へ報告するとともに、対象となる関係者と連絡を取っているが、悪用などは確認されていない。

個人情報以外のデータについても窃取された可能性があり、あわせて調査を進めている。同法人ではファイル交換サーバを通じて機密性が高い情報のやり取りは行わないようルールを定めていたとしており、知的財産をはじめとする機密情報の流出といった影響については限定的と見ている。

今回悪用された「CVE-2023-45727」は、「XML外部実体参照（XXE）」の脆弱性。「Proself」の提供元であるノースグリッドでは10月4日に脆弱性を確認し、10月10日にセキュリティアドバイザリを公開。10月17日より順次アップデートが提供されている。

（Security NEXT - 2023/10/31 ） ツイート

PR

関連記事

中学校で採点済み答案用紙のURLをメールで誤送信 - 小平市
ランサム被害の調査を継続、受注や発送は再開 - メディカ出版
「iOS 26.4」公開、脆弱性38件を修正 - 旧端末向け「iOS 18.7.7」も
旧化粧品ブランドサイトのドメイン名を第三者が取得 - ロート製薬
国交省の子育てエコホーム支援事業、委託先サーバがスパム送信の踏み台に
「Firefox 149」で脆弱性46件を修正、延長サポート版も公開
「PyTorch」向け拡張ライブラリ「NVIDIA Apex」にクリティカル脆弱性
「IDrive」Windows向けクライアントに脆弱性 - アップデートは準備中
「Xerox FreeFlow Core」に深刻な脆弱性、対策の実施を
自治体向け掲示板に個人情報含む資料を掲載 - 神奈川県