Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

権限ない学生が教務システムで個人情報を閲覧可能に - はこだて未来大

公立はこだて未来大学は、教務システムにおいて学生が本来閲覧できない個人情報を閲覧、取得できる状態だったことを明らかにした。

同大によれば、教務システムにおいて権限がないにも関わらず、教職員や学生に関する個人情報を閲覧できる状態となっていたもの。

教職員の氏名や教職員コード488件、卒業生の氏名および学籍番号6120件、学納金納付者の氏名、納付者番号1万1425件、受験者の氏名、受験番号、学納金納付者番号最大100件などが対象となる。

教務システムと連携するアプリを開発する過程で問題が生じたもので、2月29日に学生から教員に報告があり判明した。

教務システムのパッケージに脆弱性が存在し、ログインした状態でブラウザよりURLを直接指定することで教務システムとの連携機能が実行され、閲覧権限のないユーザーからもデータを閲覧できる状態だったという。

同大ではシステムの不具合を修正。情報が外部に流出した形跡はなく、被害の報告なども寄せられていないとしている。

(Security NEXT - 2024/04/30 ) このエントリーをはてなブックマークに追加

PR

関連記事

「MS Edge」にセキュリティアップデート - 独自含む脆弱性6件を修正
「Rancher」にセキュリティアップデート - 複数脆弱性を修正
東芝テックや沖電気の複合機、脆弱性43件が明らかに
SonicWall製機器の「VPN」などにDoS脆弱性 - アップデートで修正
セキュリティアドバイザリのレーティングを引き上げ - Zoom
健診受診者の個人情報をメールに誤添付 - 日光市
教員がサポート詐欺被害、個人情報に攻撃者がアクセス - 熊取町
フランスのグループ会社でランサム被害、詳細を調査 - ダイセル
スマホサポーターの個人情報が流出、閲覧権限設定ミスで - 東京都
大規模ECに対応した運用環境を「EC-CUBE」開発元が提供