セキュリティ

SECURITY

公開：2024-11-07

【CVE-2024-10598】Tongda OA 11.2-11.6に認証バイパスの脆弱性、年次休暇機能で不正アクセスのリスク

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• Tongda OAの年次休暇機能に認証の脆弱性が発見
• バージョン11.2から11.6までが影響を受ける
• 認証バイパスによる不正アクセスのリスクが存在

Tongda OA 11.2-11.6の認証バイパスの脆弱性

2024年10月31日、Tongda OAの年次休暇機能において重大な脆弱性が発見され、【CVE-2024-10598】として公開された。脆弱性はgeneral/hr/setting/attendance/leave/data.phpファイルに存在し、不適切な認証処理によって認証バイパスが可能となっている。^[1]

影響を受けるバージョンはTongda OA 11.2から11.6までであり、リモートから攻撃を実行することが可能となっている。この脆弱性は既に一般に公開されており、攻撃に特別な権限や利用者の操作を必要としないため、早急な対応が求められる状況だ。

CVSSスコアはバージョン4.0で6.9、バージョン3.1で5.3と評価されており、中程度の深刻度に分類されている。攻撃者は認証をバイパスして不正なアクセスを行うことが可能であり、情報の改ざんや漏洩のリスクが存在するのだ。

Tongda OAの脆弱性情報まとめ

不適切な認証について

不適切な認証とは、システムやアプリケーションにおいて、ユーザーの身元確認や権限検証が適切に行われていない状態を指す。主な特徴として、以下のような点が挙げられる。

• 認証プロセスのバイパスが可能
• 権限チェックの不備による不正アクセス
• セッション管理の不備による権限昇格

Tongda OAの脆弱性では、年次休暇機能のdata.phpファイルにおいて認証処理が不適切であることが判明している。攻撃者はこの脆弱性を利用して認証をバイパスし、本来アクセスできないはずの機能やデータに不正にアクセスすることが可能となるのだ。

Tongda OAの認証バイパス脆弱性に関する考察

Tongda OAの年次休暇機能における認証バイパスの脆弱性は、企業の人事情報管理における深刻なセキュリティリスクを浮き彫りにしている。特に従業員の休暇情報は個人情報保護の観点から重要であり、不正アクセスによる情報漏洩や改ざんは企業の信頼性を大きく損なう可能性がある。

今後は認証機能の強化だけでなく、アクセスログの監視や異常検知の仕組みを導入することが重要となるだろう。多層防御の考え方に基づき、IPアドレスによるアクセス制限やセッション管理の厳格化など、複数のセキュリティ対策を組み合わせることで、より堅牢なシステムを構築することが望ましい。

また、セキュリティアップデートの提供体制や脆弱性情報の開示方針についても見直しが必要となる。製品のライフサイクル全体を通じたセキュリティ管理の重要性が増しており、開発段階からのセキュリティテストの実施や、インシデント発生時の迅速な対応体制の整備が求められているのだ。

参考サイト

1. ^ CVE. 「CVE Record | CVE」. https://www.cve.org/CVERecord?id=CVE-2024-10598, (参照 24-11-07).

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧