JVN#38222042
DataSpider Servista におけるハードコードされた暗号鍵の使用の脆弱性

株式会社 セゾン情報システムズが提供する DataSpider Servista には、ハードコードされた暗号鍵の使用の脆弱性が存在します。

• DataSpider Servista 4.4 およびそれ以前のバージョン

株式会社 セゾン情報システムズが提供する DataSpider Servista は、データ連携ソフトウェアです。また、ScriptRunner および ScriptRunner for Amazon SQS は、作成したデータ連携の処理を外部から実行するためのインターフェースです。
ScriptRunner および ScriptRunner for Amazon SQS には、すべてのユーザに共通する同一の暗号鍵がハードコードされている脆弱性 (CWE-321) が存在します。

攻撃対象の DataSpider Servista にアクセス可能な第三者が ScriptRunner または ScriptRunner for Amazon SQS の起動設定ファイルを入手した場合、起動設定ファイルに記載されたユーザの権限で操作を実行される可能性があります。

パッチを適用し、起動設定ファイル等の再設定を行う
対応するパッチモジュールを適用した上で、起動設定ファイルに対して必要な手順を実施してください。
詳細は、開発者が提供する情報を確認してください。