BIツール「JasperServer」にクロスサイトリクエストフォージェリの脆弱性（JVN）

脆弱性と脅威セキュリティホール・脆弱性

2011.9.16 Fri 18:00

独立行政法人情報処理推進機構セキュリティセンター（IPA/ISEC）および一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）は9月16日、Jaspersoftが提供するJasperReportsをベースとしたオープンソースのBIツール「JasperServer」にクロスサイトリクエストフォージェリ（CSRF）の脆弱性が存在すると「Japan Vulnerability Notes（JVN）」で発表した。

「JasperServer 3.7.0 Community Edition」および「JasperServer 3.7.1 Community Edition」には、乱数生成が不十分なことに起因するクロスサイトリクエストフォージェリの脆弱性（CVE-2011-1911）が存在する。この問題が悪用されると、当該製品にログインした状態で悪意あるページを読み込んだ場合、認証情報を取得されたり、設定を変更される可能性がある。現時点では対策方法は公開されておらず、JVNではJasperServerへのアクセスを制限することで本脆弱性の影響を軽減することが可能であるとしている。
（吉澤亨史）

http://jvn.jp/cert/JVNVU519588/

《ScanNetSecurity》