JVN#70075625: Aipo におけるセッション固定の脆弱性

株式会社エイムラックが提供するグループウェア Aipo には、セッション固定の脆弱性が存在します。

株式会社エイムラックが提供する Aipo は、スケジューラや社内ブログ等の機能を持つグループウェアです。Aipo にはセッション固定の脆弱性が存在するため、攻撃者によって送り込まれたセッション ID を使ってユーザが Aipo にログインすることにより、ユーザになりすまされる問題があります。

攻撃者により、ユーザになりすまされる可能性があります。結果として、攻撃者はユーザの権限で許されている操作を行うことが可能になり、情報漏えいや改ざんなどが発生する可能性があります。

アップデートする

開発ベンダは本脆弱性に対策済みのアップデートプログラムを公開しています。ユーザは当該アップデートプログラムを速やかに適用することを推奨します。詳しくは開発ベンダの提供する情報をご覧ください。

ベンダ	ステータス	ステータス最終更新日	ベンダの告知ページ
株式会社エイムラック	該当製品あり	2007/09/28

における脆弱性分析結果

評価尺度	攻撃成立条件	評価値
攻撃経路	インターネット経由からの攻撃が可能	高
認証レベル	匿名もしくは認証なしで攻撃が可能	高
攻撃成立に必要なユーザーの関与	リンクをクリックしたり、ファイルを閲覧するなどのユーザ動作で攻撃される	中
攻撃の難易度	専門知識や運がなくとも攻撃可能	高

本脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCがベンダとの調整を行いました。報告者: 株式会社ラック石川芳浩氏

JVN#70075625 Aipo におけるセッション固定の脆弱性