国税庁「e-Tax受付システムAP」にコマンド実行の脆弱性(JVN) | ScanNetSecurity
2020.12.04(金)

国税庁「e-Tax受付システムAP」にコマンド実行の脆弱性(JVN)

IPAおよびJPCERT/CCは、国税庁が提供する「Chrome拡張機能e-Tax受付システムAP」に特定の条件下で任意のコマンドが実行可能な脆弱性が存在すると「JVN」で発表した。

脆弱性と脅威 セキュリティホール・脆弱性
独立行政法人 情報処理推進機構(IPA)および一般社団法人 JPCERT コーディネーションセンター(JPCERT/CC)は6月24日、国税庁が提供する「Chrome拡張機能e-Tax受付システムAP」に特定の条件下で任意のコマンドが実行可能な脆弱性(CVE-2020-5601)が存在すると「Japan Vulnerability Notes(JVN)」で発表した。CVSS v3によるBase Scoreは5.0。株式会社サイバーディフェンス研究所のucq氏が報告を行った。

Chrome拡張機能e-Tax受付システムAP は、e-Tax受付システムを Google Chrome または Microsoft Edge (Chromiumベース) で利用するための機能を提供するもの。ユーザが動作させる際に、第三者によって細工されたパラメータを Chrome拡張機能e-Tax受付システムAP に与え、COM オブジェクトが操作されることにより、結果として任意のコマンドが実行される可能性がある。

脆弱性の影響を受けるのは、「Chrome拡張機能e-Tax受付システムAP Ver1.0.0.0」。JVNでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。

《吉澤 亨史( Kouji Yoshizawa )》

関連記事

PageTop

特集

アクセスランキング

  1. 三菱電機契約のクラウドサービスに不正アクセス、取引先情報流出

    三菱電機契約のクラウドサービスに不正アクセス、取引先情報流出

  2. イエラエセキュリティ CSIRT支援室 第3回「AWS EC2 のHDD解析(フォレンジック)」

    イエラエセキュリティ CSIRT支援室 第3回「AWS EC2 のHDD解析(フォレンジック)」

  3. パナソニック「パートナーDIRECT」の情報流出、約4,000件が会員情報と一致

    パナソニック「パートナーDIRECT」の情報流出、約4,000件が会員情報と一致

  4. 岐阜県、PDFファイルと間違えファイル名が似通ったExcelファイルをアップ

    岐阜県、PDFファイルと間違えファイル名が似通ったExcelファイルをアップ

  5. ガートナーが日本のセキュリティ管理者に向けた3つのポイント

    ガートナーが日本のセキュリティ管理者に向けた3つのポイント

  6. 脅威メール件名例:「業務報告」「金曜日の会議のチェックリスト」「在庫確認表」「請求書送付のお願い」「組織図更新」

    脅威メール件名例:「業務報告」「金曜日の会議のチェックリスト」「在庫確認表」「請求書送付のお願い」「組織図更新」

  7. NISC、ランサムウェアによるサイバー攻撃に注意喚起

    NISC、ランサムウェアによるサイバー攻撃に注意喚起

  8. サイバー犯罪の検挙件数、2019年は9,542件に(警察庁)

    サイバー犯罪の検挙件数、2019年は9,542件に(警察庁)

  9. カプコンへのランサムウェア攻撃で最大35万件の情報流出、「Ragnar Locker」から身代金要求

    カプコンへのランサムウェア攻撃で最大35万件の情報流出、「Ragnar Locker」から身代金要求

  10. 総務省、公にしないとの条件で提供された情報を誤添付しメール送信

    総務省、公にしないとの条件で提供された情報を誤添付しメール送信

ランキングをもっと見る