「Proself」に対するゼロデイ攻撃で情報流出被害 - 国立環境研究所

国環研では、攻撃者によってサーバよりダウンロードされたファイルの一覧を把握しており、対象となる個人情報の件数など影響について精査を進めている。

また事態の発覚を受けて個人情報保護委員会へ報告するとともに、対象となる関係者と連絡を取っているが、悪用などは確認されていない。

個人情報以外のデータについても窃取された可能性があり、あわせて調査を進めている。同法人ではファイル交換サーバを通じて機密性が高い情報のやり取りは行わないようルールを定めていたとしており、知的財産をはじめとする機密情報の流出といった影響については限定的と見ている。

今回悪用された「CVE-2023-45727」は、「XML外部実体参照（XXE）」の脆弱性。「Proself」の提供元であるノースグリッドでは10月4日に脆弱性を確認し、10月10日にセキュリティアドバイザリを公開。10月17日より順次アップデートが提供されている。

（Security NEXT - 2023/10/31 ） ツイート

PR

関連記事

X線読影システムのランサム被害、VPN経由で侵入 - 埼玉県健康づくり事業団
小学校と中学校で個人情報の紛失が判明 - 尼崎市
学生の就活支援アプリ「OfferBox」に一時脆弱性 - すでに解消済み
メール「CC」送信で会員企業のメアド流出 - いばらき量子線利活用協議会
「iTunes for Windows」に脆弱性 - アップデートで修正
法人カード利用企業の情報をメールで誤送信 - UPSIDER
国内で「Mirai」とは異なるボットネットの動きが加速
軽量プロクシ「Tinyproxy」に脆弱性 - 報告者と開発者に溝
グリコ、冷蔵食品の出荷再開を延期 - 約150億円の売上減を予想
東急のネットワークにサイバー攻撃 - グループ会社から情報流出