情報処理推進機構セキュリティセンター(IPA/ISEC)とJPCERT コーディネーションセンター(JPCERT/CC)は10月14日、SAPの「SAP BusinessObjects」に含まれるAxis2コンポーネントの管理用アカウントを悪用される問題が確認されたと「Japan Vulnerability Notes(JVN)」で発表した。
SAP BusinessObjectsは、SAPが提供するビジネスインテリジェンス(BI)製品。SAP BusinessObjectsに含まれているAxis2モジュール(dswsbobje.war)に出荷時に設定されている管理用アカウントは、製品ドキュメント以外の方法でも入手できる。
このため、リモートの第三者がAxis2コンポーネントにログインし、悪意あるウェブサービス(jar)をアップロードした後に再起動することで、任意のコードを実行される可能性がある。該当するユーザーは、ベンダーが提供する情報をもとに最新版へアップデートするか、axis2.xml内に含まれているパスワードの値を変更し、デフォルトのパスワードを変更する必要があるとしている。
CNET Japanの記事を毎朝メールでまとめ読み(無料)
ZDNET×マイクロソフトが贈る特別企画
今、必要な戦略的セキュリティとガバナンス
開発経験ゼロからのローコード開発で
医療ニーズに応えた病院向けシステムを構築