logo

「SAP BusinessObjects」にデフォルトパスワード問題--任意コードが実行可能

  • このエントリーをはてなブックマークに追加

 情報処理推進機構セキュリティセンター(IPA/ISEC)とJPCERT コーディネーションセンター(JPCERT/CC)は10月14日、SAPの「SAP BusinessObjects」に含まれるAxis2コンポーネントの管理用アカウントを悪用される問題が確認されたと「Japan Vulnerability Notes(JVN)」で発表した。

 SAP BusinessObjectsは、SAPが提供するビジネスインテリジェンス(BI)製品。SAP BusinessObjectsに含まれているAxis2モジュール(dswsbobje.war)に出荷時に設定されている管理用アカウントは、製品ドキュメント以外の方法でも入手できる。

 このため、リモートの第三者がAxis2コンポーネントにログインし、悪意あるウェブサービス(jar)をアップロードした後に再起動することで、任意のコードを実行される可能性がある。該当するユーザーは、ベンダーが提供する情報をもとに最新版へアップデートするか、axis2.xml内に含まれているパスワードの値を変更し、デフォルトのパスワードを変更する必要があるとしている。

-PR-企画特集