JVN#83334799
SIG情報連携ポータルの API における複数の脆弱性

一般社団法人JPCERTコーディネーションセンターが提供する SIG情報連携ポータルの API には、複数の脆弱性が存在します。

• SIG情報連携ポータル バージョン 4.4.0 から 4.7.7 まで

一般社団法人JPCERTコーディネーションセンターが提供する SIG情報連携ポータルの 「SOC間連携API」 には、次の複数の脆弱性が存在します。

• 「情報提供機能」における認可処理の不備 (CWE-285) - CVE-2023-38751

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:N	基本値: 3.5
  CVSS v2	AV:N/AC:L/Au:S/C:P/I:N/A:N	基本値: 4.0

• 「情報提供機能」および「グループメッセージ機能」における認可処理の不備 (CWE-285) - CVE-2023-38752

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:N	基本値: 3.5
  CVSS v2	AV:N/AC:L/Au:S/C:P/I:N/A:N	基本値: 4.0

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 情報提供操作時に非開示指定された情報提供先の組織情報が、API の利用権限を有するユーザーによって閲覧可能となる - CVE-2023-38751
• システム設定により非開示指定された投稿者の属性情報が、API の利用権限を有するユーザーによって閲覧可能となる - CVE-2023-38752

パッチを適用する
開発者が提供する情報をもとにパッチを適用してください。
詳細は、開発者に確認してください。

ワークアラウンドを実施する
パッチを適用できない場合には、次の回避策を適用することで、本脆弱性の影響を回避することが可能です。

• API 利用停止の設定を行う