【CVE-2024-7654】Progress Software CorporationのOpenEdgeにクロスサイトスクリプティングの脆弱性、複数バージョンに影響

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
Progress Software CorporationのOpenEdgeに脆弱性
OpenEdgeの脆弱性の影響範囲
クロスサイトスクリプティングについて
OpenEdgeの脆弱性に関する考察
参考サイト

記事の要約

OpenEdgeにクロスサイトスクリプティングの脆弱性
影響範囲は複数のバージョンに及ぶ
情報取得や改ざんのリスクあり

Progress Software CorporationのOpenEdgeに脆弱性

Progress Software CorporationのOpenEdgeにおいて、クロスサイトスクリプティングの脆弱性が確認された。この脆弱性はCVSS v3による深刻度基本値が6.1（警告）と評価されており、攻撃元区分はネットワーク、攻撃条件の複雑さは低いとされている。攻撃に必要な特権レベルは不要だが、利用者の関与が必要であることも明らかになった。^[1]

影響を受けるバージョンは、OpenEdge 11.7.19およびそれ以前、OpenEdge 12.2から12.2.14、OpenEdge 12.8以上12.8.3未満と広範囲に及んでいる。この脆弱性により、攻撃者が情報を取得したり、情報を改ざんしたりする可能性があるため、早急な対応が求められる。ベンダーからはアドバイザリやパッチ情報が公開されており、ユーザーは参考情報を確認し適切な対策を実施することが推奨される。

本脆弱性はCVE-2024-7654として識別されており、CWEによる脆弱性タイプはクロスサイトスクリプティング（CWE-79）に分類されている。NVDの評価によると、攻撃元区分はネットワークであり、攻撃条件の複雑さは低いとされている。また、攻撃に必要な特権レベルは不要だが、利用者の関与が必要とされており、影響の想定範囲に変更があるとされている。

OpenEdgeの脆弱性の影響範囲

バージョン	影響の有無
OpenEdge 11.7.19以前	影響あり
OpenEdge 12.2～12.2.14	影響あり
OpenEdge 12.8～12.8.3未満	影響あり
OpenEdge 12.8.3以降	影響なし

クロスサイトスクリプティングについて

クロスサイトスクリプティング（XSS）とは、Webアプリケーションの脆弱性を悪用した攻撃手法の一つであり、以下のような特徴がある。

攻撃者が悪意のあるスクリプトをWebページに挿入可能
ユーザーの認証情報やセッション情報の窃取が可能
Webサイトの改ざんやフィッシング攻撃に利用される

OpenEdgeの脆弱性では、このクロスサイトスクリプティングの問題が確認されている。攻撃者がこの脆弱性を悪用すると、ユーザーのブラウザ上で不正なスクリプトを実行させ、重要な情報を盗み取ったり、Webサイトの内容を改ざんしたりする可能性がある。そのため、影響を受けるバージョンのOpenEdgeを使用している組織は、早急にパッチを適用するなどの対策を講じる必要がある。

OpenEdgeの脆弱性に関する考察

Progress Software CorporationのOpenEdgeに発見されたクロスサイトスクリプティングの脆弱性は、多くのバージョンに影響を与えている点で深刻だ。特に、OpenEdge 11.7.19以前の古いバージョンから最新の12.8系列まで広範囲に及んでおり、多くのユーザーが潜在的なリスクにさらされている可能性がある。この状況は、ソフトウェアの長期的なセキュリティ管理の重要性を浮き彫りにしているだろう。

今後の課題として、OpenEdgeユーザーの迅速なパッチ適用が挙げられる。企業によっては、業務に影響を与えないようにパッチ適用のタイミングを慎重に選ぶ必要があり、その間の一時的な対策も重要になってくるだろう。Progress Software Corporationには、影響を受けるすべてのバージョンに対して速やかにパッチを提供することが求められる。同時に、ユーザー側も定期的なセキュリティアップデートの重要性を再認識し、適切なバージョン管理を行う必要がある。

長期的には、OpenEdgeの開発プロセスにおけるセキュリティ強化が期待される。特に、クロスサイトスクリプティングのような広く知られた脆弱性が複数のバージョンにわたって存在していた点は、開発段階でのセキュリティテストの強化が必要であることを示唆している。Progress Software Corporationには、セキュアコーディング practices の徹底やAIを活用した自動化されたセキュリティテストの導入など、より堅牢なソフトウェア開発ライフサイクルの確立が求められる。