【CVE-2024-25694】Esri社のPortal for ArcGISにXSS脆弱性、バージョン10.8.1から10.9.1に影響

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
Esri社のPortal for ArcGISに発見されたXSS脆弱性
Portal for ArcGIS脆弱性の詳細
クロスサイトスクリプティング（XSS）について
Portal for ArcGISの脆弱性対応に関する考察
参考サイト

記事の要約

Esri社のPortal for ArcGISにXSS脆弱性
影響範囲はバージョン10.8.1から10.9.1
情報取得・改ざんのリスクあり、対策必要

Esri社のPortal for ArcGISに発見されたXSS脆弱性

Esri社は、同社のGISソフトウェア製品であるPortal for ArcGISにクロスサイトスクリプティング（XSS）の脆弱性が存在することを公表した。この脆弱性は、Portal for ArcGISのバージョン10.8.1から10.9.1に影響を与えるものであり、CVE-2024-25694として識別されている。脆弱性の深刻度はCVSS v3基本値で4.8（警告）と評価されており、攻撃元区分はネットワークとなっている。^[1]

この脆弱性を悪用された場合、攻撃者が情報を不正に取得したり、改ざんしたりする可能性がある。攻撃条件の複雑さは低いとされているが、攻撃に必要な特権レベルは高く設定されており、利用者の関与が必要とされている。影響の想定範囲には変更があり、機密性と完全性への影響は低いが、可用性への影響はないとされている。

Esri社は、この脆弱性に対処するためのベンダアドバイザリとパッチ情報を公開している。影響を受ける可能性のあるユーザーは、公開された情報を参照し、適切な対策を実施することが推奨される。また、この脆弱性はCWEによる分類では、クロスサイトスクリプティング（CWE-79）に分類されている。

Portal for ArcGIS脆弱性の詳細

項目	詳細
影響を受ける製品	Portal for ArcGIS 10.8.1から10.9.1
脆弱性の種類	クロスサイトスクリプティング（XSS）
CVE番号	CVE-2024-25694
CVSS v3基本値	4.8（警告）
攻撃元区分	ネットワーク
攻撃条件の複雑さ	低
攻撃に必要な特権レベル	高

クロスサイトスクリプティング（XSS）について

クロスサイトスクリプティング（XSS）とは、Webアプリケーションの脆弱性の一種で、攻撃者が悪意のあるスクリプトをWebページに挿入することを可能にする脆弱性のことを指す。主な特徴として以下のような点が挙げられる。

ユーザーの入力データを適切にサニタイズせずにWebページに出力する
攻撃者が被害者のブラウザ上で悪意のあるスクリプトを実行可能
セッションハイジャック、フィッシング、マルウェア感染などの攻撃に悪用される

Portal for ArcGISの脆弱性の場合、攻撃者がこのXSS脆弱性を悪用して、ユーザーの情報を不正に取得したり、Webページの内容を改ざんしたりする可能性がある。この脆弱性は高い特権レベルが必要とされているが、攻撃条件の複雑さが低いため、適切な対策を講じることが重要である。Esri社が提供するパッチやアドバイザリに従って、速やかに対策を実施することが推奨される。

Portal for ArcGISの脆弱性対応に関する考察

Esri社がPortal for ArcGISの脆弱性を迅速に公表し、対策情報を提供したことは評価に値する。この対応により、ユーザーは速やかに必要な対策を講じることが可能となり、潜在的な被害を最小限に抑えることができるだろう。しかし、この種の脆弱性が発見されたことは、GISソフトウェアのセキュリティ設計において改善の余地があることを示唆している。

今後、同様の脆弱性が他のGISソフトウェアや関連製品で発見される可能性も考えられる。そのため、Esri社を含むGISソフトウェア開発企業は、セキュリティ強化のための継続的な取り組みが求められるだろう。特に、入力値の適切なサニタイズ処理やコンテンツセキュリティポリシー（CSP）の厳格な実装など、XSS対策の基本的な手法を徹底することが重要である。

ユーザー側としては、今回の脆弱性対応を契機に、GISシステムの運用におけるセキュリティ対策の見直しが必要だろう。定期的なセキュリティアップデートの適用はもちろんのこと、アクセス制御の強化や監視体制の整備など、総合的なセキュリティ対策を講じることが望ましい。また、GIS業界全体として、セキュリティインシデントの情報共有や脆弱性対応の迅速化に向けた取り組みを強化することが期待される。