権限ない学生が教務システムで個人情報を閲覧可能に - はこだて未来大

公立はこだて未来大学は、教務システムにおいて学生が本来閲覧できない個人情報を閲覧、取得できる状態だったことを明らかにした。

同大によれば、教務システムにおいて権限がないにも関わらず、教職員や学生に関する個人情報を閲覧できる状態となっていたもの。

教職員の氏名や教職員コード488件、卒業生の氏名および学籍番号6120件、学納金納付者の氏名、納付者番号1万1425件、受験者の氏名、受験番号、学納金納付者番号最大100件などが対象となる。

教務システムと連携するアプリを開発する過程で問題が生じたもので、2月29日に学生から教員に報告があり判明した。

教務システムのパッケージに脆弱性が存在し、ログインした状態でブラウザよりURLを直接指定することで教務システムとの連携機能が実行され、閲覧権限のないユーザーからもデータを閲覧できる状態だったという。

同大ではシステムの不具合を修正。情報が外部に流出した形跡はなく、被害の報告なども寄せられていないとしている。

（Security NEXT - 2024/04/30 ）ツイート