ユーザ向けエネルギー使用情報閲覧ソフト「DTE Insight」に脆弱性(JVN)

2016年3月15日(火) 08時00分
このエントリーをはてなブックマークに追加
独立行政法人 情報処理推進機構(IPA)および一般社団法人 JPCERT コーディネーションセンター(JPCERT/CC)は3月14日、DTE Energyが契約ユーザ向けに提供しているエネルギー使用に関する情報を閲覧するためのアプリケーション「DTE Insight」にユーザ情報が漏えいする脆弱性が存在すると「Japan Vulnerability Notes(JVN)」で発表した。CVSS v3によるBase Scoreは4.3。

「DTE Insight」はHTTP REST API 経由で情報を取得しており、このAPIに含まれるfilter パラメータを改ざんすることで、ユーザ情報が漏えいする脆弱性(CVE-2016-1562)が存在する。この脆弱性により、ユーザによって他のユーザの情報を取得される可能性がある。この問題はサーバ側で対策が完了しており、発見者は現時点で他者の情報にアクセスできなくなっていることを確認しているという。
《吉澤 亨史》

注目ニュース

icon

IPAおよびJPCERT/CCは、Quaggaが提供する、UNIX向けのルーティングソフトウェア「Quagga」にバッファオーバーフローの脆弱性が存在すると「JVN」で発表した。

icon

IPAおよびJPCERT/CCは、ISC DHCPにDoSの脆弱性が存在すると「JVN」で発表した。

icon

IPAおよびJPCERT/CCは、コレガ製の複数の無線LANルータにクロスサイトリクエストフォージェリの脆弱性が存在すると「JVN」で発表した。

icon

IPAおよびJPCERT/CCは、SSLv2には十分な回数のハンドシェイクの情報を収集できる場合に、暗号通信を解読される可能性があると「JVN」で発表した。

icon

IPAおよびJPCERT/CCは、CDNに対する攻撃手法として、Forwarding Loopを発生させDoS状態にする攻撃が指摘されていると「JVN」で発表した。

RSS

特集・連載

ピックアップフォト