ニュース
» 2008年06月27日 16時23分 UPDATE

なりすましやデータ改ざんの恐れ:サイボウズのグループウェア製品に3件の脆弱性

ガルーンやOfficeのグループウェア製品にクロスサイトリクエストフォージェリなど3件の脆弱性が発見された。

[ITmedia]

 情報処理推進機構(IPA)セキュリティセンターとJPCERTコーディネーションセンターは6月27日、サイボウズのグループウェア製品「サイボウズ Office」などに3件の脆弱性が発見されたとして、JVN(Japan Vulnerability Notes)に情報を公開した。

 発見された脆弱性は、クロスサイトリクエストフォージェリ(CSRF)とクロスサイトスクリプティング(XSS)、セッション固定の合計3件。対象製品は、CSRFがサイボウズ Office 6およびサイボウズ デヂエ 6.0(1.0)より前のバージョン、サイボウズ ガルーン 2.0.0〜2.1.3。XSSとセッション固定がサイボウズ ガルーン 2.0.0〜2.1.3となっている。

 CSRFの脆弱性では、ユーザーが該当製品にログインした状態で悪質サイトを閲覧すると、登録情報や設定内容が改ざんされる恐れがある。XSSの脆弱性では、該当製品がRSSを出力する際の処理が不適切になり、リモートで任意のコードを実行される恐れがある。セッション固定の脆弱性では、第三者が指定したセッションIDでユーザーがログインすると、第三者がユーザーになりすましてデータを改ざんしたり、情報を漏えいしたりする恐れがある。

 サイボウズは、それぞれの脆弱性に対処した製品を公開しており、ユーザーにバージョンアップを呼びかけている。該当製品は、Office 7.0(0.1)、サイボウズ デヂエ 6.0(1.0)以上、ガルーンは2.5.0となっている。

 これらの脆弱性は、2006年11月20日と2007年3月8日、同5月14日にIPAが届出を受け、JPCERT/CCがサイボウズとの調整を経て公表した。

過去のニュース一覧はこちら

Copyright© 2017 ITmedia, Inc. All Rights Reserved.

ピックアップコンテンツ

- PR -

注目のテーマ