セキュリティ

SECURITY

公開：2024-11-07

【CVE-2024-10616】Tongda OAのwebSignSubmit.phpにSQL injection脆弱性が発見、複数バージョンに影響

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• Tongda OAにSQL injection脆弱性が発見
• バージョン11.2から11.9まで影響を受ける
• CVSS v4.0で中程度の深刻度に分類

Tongda OA webSignSubmit.phpのSQL injection脆弱性

2024年11月1日、Tongda OAのバージョン11.2から11.9において重大な脆弱性が発見され公開された。この脆弱性は/pda/workflow/webSignSubmit.phpファイル内のsaleIdパラメータに関連するSQL injectionの脆弱性であり、リモートから攻撃を仕掛けることが可能となっている。^[1]

この脆弱性は【CVE-2024-10616】として識別されており、CVSS v4.0では5.3のスコアで中程度の深刻度に分類されている。攻撃には低い権限レベルが必要とされるものの、ユーザーインターフェースを必要としない攻撃が可能であることが明らかになった。

脆弱性の影響を受けるバージョンは11.2から11.9までの8つのバージョンに及んでおり、機密性、整合性、可用性のすべてにおいて低レベルの影響が確認されている。脆弱性の詳細な技術情報とPoCはすでに公開されており、早急な対応が求められる状況だ。

SQL injection脆弱性の詳細

SQL injectionについて

SQL injectionとは、Webアプリケーションのデータベース操作において、想定外のSQLコマンドを挿入・実行される脆弱性のことを指している。主な特徴として、以下のような点が挙げられる。

• 入力値の検証が不適切な場合に発生する脆弱性
• データベースの不正な操作や情報漏洩のリスクがある
• 適切なパラメータのサニタイズにより防止可能

Tongda OAの事例では、webSignSubmit.phpファイル内のsaleIdパラメータに対するSQL injectionが可能となっており、リモートからの攻撃が実行可能な状態となっている。CVEとして公開されている本脆弱性は、CVSS v4.0で中程度の深刻度と評価されているものの、すでにPoCが公開されており早急な対応が必要だ。

Tongda OAの脆弱性に関する考察

Tongda OAのSQL injection脆弱性は、Webアプリケーションセキュリティにおける基本的な対策の重要性を再認識させる事例となっている。複数のバージョンに影響が及んでいることから、開発プロセスにおけるセキュリティテストの重要性が浮き彫りとなったと言えるだろう。

今後の課題として、パラメータのバリデーション強化やセキュアコーディングの徹底が挙げられる。開発チームは継続的なセキュリティトレーニングを実施し、コードレビューのプロセスを改善することで、同様の脆弱性の再発を防ぐ必要があるだろう。

また、脆弱性情報の公開と対応におけるタイムラグが攻撃のリスクを高めている点も課題となっている。ベンダーには迅速なパッチ提供体制の整備が求められ、ユーザー側にも適切なバージョン管理とセキュリティアップデートの重要性が示されたと言える。

参考サイト

1. ^ CVE. 「CVE Record | CVE」. https://www.cve.org/CVERecord?id=CVE-2024-10616, (参照 24-11-07).

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧