サイトブリッジ株式会社からの情報

１．オープンリダイレクトに関する脆弱性について

■詳細
別サイトをパラメータに指定したURLを被害者に誘導してログインさせることで、別サイトにリダイレクトさせることが可能です。

■発生条件
攻撃者は、ログインURLを知っており、パラメートを指定した上で被害者を誘導できることが前提となります。
被害者は、ログインできるユーザーであることが前提となります。
なお、外部インターネットに接続できない業務系ネットワーク上で利用している環境では危険性がありません。

■影響を受けるバージョン
本脆弱性は、Joruri Mail 2.1.4以前のバージョンに影響があります。
Joruri Mail 2.1.5以降のバージョンで対策済みです。

■対策方法
Joruri Mailは、2.1.5以降へのバージョンアップを実施してください。


２．セッション管理不備に関する脆弱性について

■詳細
有効なセッションIDをURL引数につけたURLに、被害者に誘導してログインさせることで、攻撃者のブラウザで被害者に成りすましてログインが可能となります。

■発生条件
攻撃者が有効なセッションでブラウザを表示した状態で被害者を誘導した場合のみに影響があります。
攻撃者及び被害者はにログイン画面にアクセスできるユーザーであること、また、同時にブラウザでアクセスすることが前提となるため、外部ユーザーから攻撃される危険性は低いと考えています。

■影響を受けるバージョン
本脆弱性は、Joruri Mail 2.1.4以前のバージョンに影響があります。
Joruri Mail 2.1.5以降のバージョンで対策済みです。

■対策方法
Joruri Mailは、2.1.5以降へのバージョンアップを実施してください。