プリザンターにおけるLDAP認証の認証不備脆弱性

概要

株式会社インプリムが提供するプリザンターのLDAP認証認証：アクセスしてきた相手が名乗っている通りの本人であることを確認する仕組み。詳しく見る →には、認証不備の脆弱性が存在します。

影響を受ける製品

• プリザンター 1.1.0.0から1.5.9.0までのバージョン

なお、本脆弱性はLDAP認証を設定した構成で次の2つをいずれも満たす場合に影響を受けます。

• プリザンターをLinux環境（Docker版を含む）、またはWindows環境で「DsProvider」に「Novell」を指定して動かしている
• 接続先のLDAPサーバーがActive Directory、または匿名バインドを許可しているOpenLDAP、389 Directory Serverなどである

想定される影響・悪用状況

有効なログインIDを知る第三者によって、パスワードなしで当該製品にログインされる可能性があります。その結果、ログインしたユーザの権限で当該製品に登録されている情報を閲覧、改ざん、削除される可能性があります。

深刻度

• 認証処理内の重要な手順の欠如（CWE-304）
  • CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N 基本値 6.9
  • CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N 基本値 6.5

対策

アップデートパッチ適用：ソフトウェアやファームウエアに発見された脆弱性や不具合を修正するための更新プログラムを適用し、システムを安全な状態に保つこと。詳しく見る →する
開発者が提供する情報をもとに、最新版へアップデートしてください。
本脆弱性はバージョン1.5.9.1で修正されています。

ワークアラウンドを実施する
最新版へのアップデートが難しい場合、開発者はワークアラウンドの適用を推奨しています。
詳細は開発者にお問い合わせください。