JVN#43615794
弥生会計における認証情報の扱いに関する脆弱性

弥生会計のクイックナビゲータ機能には、ユーザの認証に使われる情報が暗号化されずに送信される問題が存在します。

• 弥生会計05シリーズ・やよいの青色申告05各製品
• 弥生会計06シリーズ・やよいの青色申告06各製品(R2を含む)
• 弥生会計07シリーズ・やよいの青色申告07各製品(R2を除く)
• 弥生販売06シリーズ各製品
• 弥生販売07シリーズ各製品(製品バージョン10.0.1のみ)

弥生会計のクイックナビゲータ機能では、弥生株式会社が提供するサーバにログインすることがあります。ログインする際の通信が暗号化されていないため、ネットワークの盗聴などが行われた場合、ユーザのログインに利用される「お客様番号」と「電話番号」が漏えいする可能性があります。

弥生株式会社が提供するサーバとユーザとの間のネットワークを盗聴されるなどすると「お客様番号」と「電話番号」が攻撃者に漏えいする可能性があります。 「お客様番号」と「電話番号」は、弥生株式会社が提供するサーバにログインするために利用されるため、攻撃者がユーザになりすましてログインする可能性があります。

アップデートする
ユーザと弥生株式会社サーバ間の通信をSSL化したアップデート版が公開されています。当該製品のユーザはアップデート版に移行することを推奨します。

回避策
クイックナビゲータ機能を利用しない。

詳しくは開発者が提供する情報をご覧ください。