JVN#73258608: 「CruiseWorks」および「みんなでオフィス」におけるアクセス制限回避の脆弱性

グループウェアである「CruiseWorks」および「みんなでオフィス」には、ユーザのアクセス制限が適切に設定されていない問題が存在します。

CruiseWorks 1.09e およびそれ以前

みんなでオフィスバージョン 1.xx および 2.xx

詳しくはベンダの提供する情報をご確認下さい。

「CruiseWorks」または「みんなでオフィス」にログイン中の一般ユーザによって、システム設定や登録情報を変更される可能性があります。

ベンダ	ステータス	ステータス最終更新日	ベンダの告知ページ
アイサンテクノロジー株式会社	該当製品あり	2007/03/29
有限会社キーノスロジック	該当製品あり	2007/03/29

2007.03.29における脆弱性分析結果

評価尺度	攻撃成立条件	評価値
攻撃経路	Ethernet などローカルセグメント内 (Bluetooth や 802.11 なども含む) からの攻撃が可能	中 - 高
認証レベル	システムに正規登録されている一般ユーザのアカウントが必要	低 - 中
攻撃成立に必要なユーザーの関与	リンクをクリックしたり、ファイルを閲覧するなどのユーザ動作で攻撃される	中
攻撃の難易度	専門知識や運がなくとも攻撃可能	高

本脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき
下記の方がIPAに報告し、JPCERT/CCがベンダおよびCERT/CCとの調整を行いました。
報告者: 株式会社ラック石川芳浩氏

JVN#73258608 「CruiseWorks」および「みんなでオフィス」におけるアクセス制限回避の脆弱性