セキュリティ

SECURITY

公開：2024-11-07

【CVE-2024-10617】Tongda OAにSQLインジェクションの脆弱性が発見、バージョン11.10以前に影響

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• Tongda OAのcheck_seal.phpにSQLインジェクションの脆弱性
• バージョン11.10以前の全バージョンが影響を受ける
• CVSSスコアは中程度で遠隔から攻撃可能

Tongda OAのSQLインジェクション脆弱性

2024年11月1日、Tongda OAのバージョン11.10以前に深刻な脆弱性が発見され、【CVE-2024-10617】として公開された。この脆弱性は/pda/workflow/check_seal.phpファイル内のIDパラメータを操作することでSQLインジェクションが可能となり、遠隔からの攻撃に対して脆弱性があることが判明している。^[1]

この脆弱性はバージョン11.0から11.10までの全てのバージョンに影響を及ぼすことが確認されており、CVSSスコアは3.1で6.3点と中程度の深刻度となっている。攻撃者は認証が必要なものの、ユーザーインターフェースを必要とせずに攻撃を実行できる可能性があるだろう。

脆弱性の特徴として、攻撃元区分はネットワーク経由であり、攻撃条件の複雑さは低いとされている。また既に脆弱性の詳細が公開されており、攻撃コードが利用可能な状態となっているため、早急な対応が必要とされている。

Tongda OA脆弱性の影響範囲

SQLインジェクションについて

SQLインジェクションとは、Webアプリケーションのデータベースに対して悪意のあるSQLコードを挿入し、不正な操作を行う攻撃手法である。主な特徴として、以下のような点が挙げられる。

• データベースの内容を不正に閲覧・改ざん可能
• 認証をバイパスして不正アクセスが可能
• データベース全体の破壊や情報漏洩のリスクあり

Tongda OAの事例では、check_seal.phpファイル内のIDパラメータの入力値が適切にサニタイズされていないことが問題となっている。攻撃者はこの脆弱性を利用してデータベースに不正なSQLクエリを実行し、情報の窃取や改ざんを行う可能性があるため、早急なパッチ適用が推奨される。

Tongda OAの脆弱性に関する考察

Tongda OAの脆弱性は、広く使われているバージョンに影響を及ぼすという点で重大な問題となっている。特に認証さえ突破できれば遠隔から攻撃可能という特徴は、企業の情報セキュリティにとって大きな脅威となり得るだろう。

今後の課題として、脆弱性の検出プロセスの改善や定期的なセキュリティ監査の実施が必要不可欠である。特にSQLインジェクション対策として、プリペアドステートメントの使用やバリデーション処理の強化を徹底すべきだ。

長期的な対策としては、セキュアコーディングガイドラインの整備や開発者教育の強化が重要となる。また、脆弱性が発見された際の迅速なパッチ提供体制の構築も、今後のセキュリティ対策として欠かせないだろう。

参考サイト

1. ^ CVE. 「CVE Record | CVE」. https://www.cve.org/CVERecord?id=CVE-2024-10617, (参照 24-11-07).

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧