SIG情報連携ポータルの API に複数の脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は8月7日、SIG情報連携ポータルの API における複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。JPCERT/CC 情報基盤サービスグループの根岸祐介氏が報告を行っている。影響を受けるシステムは以下の通り。

SIG情報連携ポータル バージョン 4.4.0 から 4.7.7 まで

　JPCERT/CCが提供する SIG情報連携ポータルの 「SOC間連携API」 には、下記の影響を受ける可能性がある複数の脆弱性が存在する。

・「情報提供機能」における認可処理の不備（CVE-2023-38751）
→情報提供操作時に非開示指定された情報提供先の組織情報がAPI の利用権限を有するユーザーによって閲覧可能となる

・「情報提供機能」および「グループメッセージ機能」における認可処理の不備（CVE-2023-38752）
→システム設定により非開示指定された投稿者の属性情報がAPI の利用権限を有するユーザーによって閲覧可能となる

　JVNでは、開発者が提供する情報をもとにパッチを適用するよう呼びかけている。

　パッチを適用できない場合は、API 利用停止の設定を行うことで、本脆弱性の影響を回避することが可能。