サイボウズのグループウェア製品に3件の脆弱性：なりすましやデータ改ざんの恐れ

ガルーンやOfficeのグループウェア製品にクロスサイトリクエストフォージェリなど3件の脆弱性が発見された。

[ITmedia]

　情報処理推進機構（IPA）セキュリティセンターとJPCERTコーディネーションセンターは6月27日、サイボウズのグループウェア製品「サイボウズ Office」などに3件の脆弱性が発見されたとして、JVN(Japan Vulnerability Notes)に情報を公開した。

　発見された脆弱性は、クロスサイトリクエストフォージェリ（CSRF）とクロスサイトスクリプティング（XSS）、セッション固定の合計3件。対象製品は、CSRFがサイボウズ Office 6およびサイボウズ デヂエ 6.0（1.0）より前のバージョン、サイボウズ ガルーン 2.0.0〜2.1.3。XSSとセッション固定がサイボウズ ガルーン 2.0.0〜2.1.3となっている。

　CSRFの脆弱性では、ユーザーが該当製品にログインした状態で悪質サイトを閲覧すると、登録情報や設定内容が改ざんされる恐れがある。XSSの脆弱性では、該当製品がRSSを出力する際の処理が不適切になり、リモートで任意のコードを実行される恐れがある。セッション固定の脆弱性では、第三者が指定したセッションIDでユーザーがログインすると、第三者がユーザーになりすましてデータを改ざんしたり、情報を漏えいしたりする恐れがある。

　サイボウズは、それぞれの脆弱性に対処した製品を公開しており、ユーザーにバージョンアップを呼びかけている。該当製品は、Office 7.0（0.1）、サイボウズ デヂエ 6.0（1.0）以上、ガルーンは2.5.0となっている。

　これらの脆弱性は、2006年11月20日と2007年3月8日、同5月14日にIPAが届出を受け、JPCERT/CCがサイボウズとの調整を経て公表した。

過去のニュース一覧はこちら