セキュリティ脅威情報

Ploneの「Classic portlet」機能において、TALES（Template Attribute Language Expression Syntax）式の処理に脆弱性が存在する。認証されたユーザーがClassic portletを作成または編集する際、細工した値をテンプレートやマクロフィールドに入力することで、システム側に任意の式を評価させることが可能である。この結果、単純なパス走査の制限を回避し、サーバー側で任意のコードが実行される危険性がある。デフォルト設定では、個人のダッシュボードを操作できる一般ユーザーもこの機能を悪用可能である。

OpenC3 COSMOS において、認証されたユーザーがサーバー上で任意のコードを実行できる重大な脆弱性が判明した。本システムは設定ファイルを読み込む際、読み取り専用領域よりもユーザーが書き込み可能なオーバーレイ領域を優先して参照する。攻撃者がこの領域に ERB スクリプトや特定のコードブロックを含むファイルを配置すると、設定解析プロセスがこれらをコードとして評価・実行してしまう。オープンソース版では詳細な権限チェックが行われないため、管理者以外の一般認証ユーザーでも悪用が可能である。

Java ベースの MQTT ブローカー Moquette において、複数の深刻な脆弱性が報告された。特に、認可ルール（ACL）の処理に不備があり、クライアント ID にワイルドカード文字を注入することで、他テナントのトピックを自由に読み書きできる認可バイパスが極めて重大である。また、未認証の攻撃者が不正なメッセージを送信することでブローカー全体をクラッシュさせるサービス拒否（DoS）攻撃や、Will メッセージの認可チェック漏れ、永続データの破損を招くバグも確認されている。既に概念実証（PoC）コードが公開されており、悪用のリスクが非常に高い状態である。

自由民主党は、ガバメントソリューションサービス（GSS）への不正アクセスによる個人情報漏えい事案について、政府から説明を受けたと発表しました。党の合同会議で原因究明や再発防止策について協議が行われ、VPNを活用した境界防御の再構築などが求められています。

生活協同組合コープやまぐちは、提供する「コープやまぐちLINEミニアプリ」への不正アクセスに関する第二報を発表しました。データベース内の全データが一時削除される事象が発生しており、データの精査により組合員情報やWEBフォームの回答など漏えいの可能性がある情報項目が確定しました。

株式会社JAライフクリエイト福島が運営する「e牛ショップ」は、利用しているECプラットフォーム「ショップサーブ」において第三者による不正アクセスが発生し、購入者情報および会員情報が外部に流出した可能性があると公表しました。運営会社の株式会社Eストアーからの発表に基づくもので、同店では会員へパスワードの変更や不審な連絡への注意を呼びかけています。

ロート製薬株式会社は、通信販売のシステムが第三者による不正アクセスを受けたと発表しました。顧客対応の通話音声データや顧客管理システムに保存されていた情報が不正に取得された可能性があるとして、調査と影響確認が進められています。