PR

 情報処理推進機構(IPA)セキュリティセンターとJPCERTコーディネーションセンター(JPCERT/CC)は1月12日,「長崎県電子県庁システム」の一部にセキュリティ・ホールが見つかったことを明らかにした。アクセス権限を持たないユーザーに,システムが管理する情報を閲覧されたり,改ざんされたりする恐れがある。現在公開されているシステム(ソースコード)では修正されている。

 長崎県電子県庁システムとは,長崎県が開発した自治体向けのシステム。システムの一部はオープンソースとして公開されている(関連記事)。ソースコードが公開されているシステムに,今回セキュリティ・ホールが見つかった。

 セキュリティ・ホールは2種類。1つは,認証処理に関するセキュリティ・ホール。このセキュリティ・ホールを突けば,ユーザー認証を回避してシステムにアクセスできる。影響を受けるのは,「統合メインメニュー」「年次休暇システム」「WEB職員録システム」「文書保管システム」。

 もう1つは認証情報(パスワード)に関するセキュリティ・ホール。特定の認証情報がソースコードに埋め込まれているので,その認証情報を使えば誰でもシステムにアクセスできてしまう。「WEB職員録システム」が影響を受ける。

 「長崎県電子県庁システム オープンソース」のページによれば,2005年12月28日付けで,これらのセキュリティ・ホールを修正したソースコードを公開したという。

 なお今回の脆弱性は,「情報セキュリティ早期警戒パートナーシップ」に基づいて,産業技術総合研究所 情報セキュリティ研究センターの高木浩光氏からIPAへ報告され,JPCERT/CCが調整をおこなった(関連記事)。

◎参考資料
◆JVN#836B21C0 長崎県電子県庁システムにおける認証処理に関する脆弱性
◆JVN#6CA72ADB 長崎県電子県庁システムにおける認証情報に関する脆弱性
長崎県電子県庁システム オープンソース