セゾン情報システムズのデータ連携ソフト「DataSpider Servista」にハードコードされた暗号鍵の使用の脆弱性 | ScanNetSecurity
2024.03.19(火)

セゾン情報システムズのデータ連携ソフト「DataSpider Servista」にハードコードされた暗号鍵の使用の脆弱性

独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は5月31日、DataSpider Servista におけるハードコードされた暗号鍵の使用の脆弱性について「Japan Vulnerability Notes(JVN)」で発表した。

脆弱性と脅威 セキュリティホール・脆弱性

 独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は5月31日、DataSpider Servista におけるハードコードされた暗号鍵の使用の脆弱性について「Japan Vulnerability Notes(JVN)」で発表した。スズキ株式会社の佐藤信弥氏、株式会社ラックの大熊陽氏が報告を行っている。影響を受けるシステムは以下の通り。

DataSpider Servista 4.4 およびそれ以前のバージョン

 株式会社 セゾン情報システムズが提供する DataSpider Servista は、データ連携ソフトウェアで、ScriptRunner および ScriptRunner for Amazon SQS は、作成したデータ連携の処理を外部から実行するためのインターフェース。

 ScriptRunner および ScriptRunner for Amazon SQS には、すべてのユーザに共通する同一の暗号鍵がハードコードされている脆弱性が存在し、攻撃対象の DataSpider Servista にアクセス可能な第三者が ScriptRunner または ScriptRunner for Amazon SQS の起動設定ファイルを入手した場合、起動設定ファイルに記載されたユーザの権限で操作を実行される可能性がある。

 JVNでは、対応するパッチモジュールを適用した上で、起動設定ファイルに対して必要な手順を実施するよう呼びかけている。

《ScanNetSecurity》

関連記事

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

カテゴリ別新着記事

「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」
「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」

ページ右上「ユーザー登録」から会員登録すれば会員限定記事を閲覧できます。毎週月曜の朝、先週一週間のセキュリティ動向を総括しふりかえるメルマガをお届け。(写真:ScanNetSecurity 名誉編集長 りく)

×