JVNVU#97743379
Aptexx Resident Anywhere に機微なアカウント情報が漏えいする脆弱性

Aptexx Resident Anywhere には、ユーザ認証を行わないため、機微なアカウント情報等の閲覧・変更が可能な脆弱性が存在します。

• Aptexx Resident Anywhere

別のパスやチャンネルを介した認証回避 (CWE-288) - CVE-2014-4882
Aptexx Resident Anywhere は、不動産に関するオンライン決裁やメンテナンスリクエストを受け付けるサービスを提供するアプリケーションです。Aptexx Resident Anywhere は、ユーザのアカウント情報を閲覧・変更する際に認証を要求しません。そのため、アカウント情報にアクセスするための URL を知ることができれば、攻撃者は認証を経ることなくユーザアカウントにアクセスすることができます。アカウントにアクセスすることで、アカウントデータの閲覧や変更、決裁やメンテナンスリクエストの送信が可能です。

アカウントにアクセスするための特定の URL を知る遠隔の攻撃者によって、ユーザの支払いアカウント番号の下四桁、名前、住所、メールアドレス、電話番号、支払い履歴を取得されます。また、アカウント情報を変更・削除されたり、新しいパスワードを設定されたり、偽のメンテナンスリクエストを送信されたりする可能性があります。

2015年6月9日現在、対策方法は不明です。以下のワークアラウンドの適用を検討してください。

機微な情報を保存しない
当該製品に支払い関連の情報（クレジットカード番号、銀行口座番号）等の機微な情報を保存しないでください。