独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は6月3日、UNIVERSAL PASSPORT RXにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。東京電機大学の森田慧一氏と渡辺康介氏、東京情報大学の松本悠希氏が報告を行っている。影響を受けるシステムは以下の通り。
・CVE-2023-42427および脆弱なサードパーティ製コンポーネントの使用
UNIVERSAL PASSPORT RX バージョン 1.0.0から1.0.7
・CVE-2023-51436
UNIVERSAL PASSPORT RX バージョン 1.0.0から1.0.8
日本システム技術株式会社が提供するUNIVERSAL PASSPORT RXには、下記の影響を受ける可能性がある複数の脆弱性が存在する。
・クロスサイトスクリプティング（CVE-2023-42427、CVE-2023-51436）
→当該製品を使用しているユーザのウェブブラウザ上で任意のスクリプトを実行される
・脆弱なサードパーティ製コンポーネントの使用
→当該製品で使用しているPrimefacesライブラリの既知の脆弱性の影響を受けて、システム上で任意のコードを実行される
CVE-2023-42427および脆弱なサードパーティ製コンポーネントの使用については、両脆弱性の影響を受ける可能性のあるユーザへの周知と対象製品の修正バージョンへのアップデートを完了しており、ユーザによる対策は不要となっている。
CVE-2023-51436については、JVNではアップデートか、個別対応プログラムの適用を呼びかけている。
なお、本JVNに掲載されている脆弱性はすべて「UNIVERSAL PASSPORT RX バージョン 1.0.9」で修正されている。
