全1086文字
著名なセキュリティーリサーチャーのpiyokango氏が注目のシステムトラブルをピックアップ。今週の注目ネタは……。
今回取り上げるシステムトラブルは、リコーのオンラインストレージで不正アクセス被害と、テイツーの設定不備による個人情報流出である。
IDとして使われた629件のメールアドレスが流出か
リコーは2023年10月13日、同社が運営するオンラインストレージサービス「RICOH Drive」が不正アクセスを受け、登録者情報の一部が外部に流出した可能性があると発表した。
（出所：リコー）
同社は、XXE（XML External Entity）脆弱性を悪用した攻撃と説明。サービスにXMLの外部エンティティー参照の脆弱性があり、攻撃者がこれを悪用して保護されたデータにアクセスしたとみられる。なお、発表資料の中では攻撃手法を把握した経緯を説明していない。
流出した可能性のある情報は、ログインIDが4244件で、このうち629件はIDとしてメールアドレスが使われていた。また、ユーザープロパティー情報への不正アクセスによって、ログインIDと登録氏名、メールアドレス、暗号化されたパスワードの組み合わせが3件、ログインIDと暗号化されたパスワードの組み合わせが3件流出した可能性があるとしている。
不正アクセスは2023年9月18日午後9時46分から午後10時1分にかけて発生。同社が事態を把握したのは10月4日。同社は脆弱性への対応と監視の強化を行い、該当する登録者には個別に連絡と注意喚起を行った。
XXE脆弱性についてはノースグリッドが2023年10月10日に同社のオンラインストレージ構築ソフト「Proself」に見つかったことを明らかにしていた。ただし、両者の脆弱性について関係があるかどうか不明である。
（出所：ノースグリッド）
からの記事と詳細 ( オンラインストレージ「RICOH Drive」にXXE脆弱性、個人情報が ... - ITpro )
https://ift.tt/Vf4b05T
0 Comments:
Post a Comment