独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は4月10日、BizRobo!における複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。GMOサイバーセキュリティ byイエラエ株式会社の安里眞夢氏が報告を行っている。
影響を受けるシステムは以下の通り。

・CVE-2025-31362、CVE-2025-31932
BizRobo! すべてのバージョン

・CVE-2013-7285
BizRobo! v11.1およびそれ以前のバージョン

　オープン株式会社が提供するRPA（Robotic Process Automation）製品のBizRobo!では、​ユーザーがWindows上で動作する開発用アプリケーションDesignStudioで自動化フロー​を作成してロボットファイルに保存し、作成したロボットファイルはWebアプリケーションManagement Consoleにアップロードし、RPAの実行スケジュールを組んだり実行ログを確認したりする。

　BizRobo!には、下記の影響を受ける可能性がある複数の脆弱性が存在する。

・ハードコードされた暗号鍵の使用（CVE-2025-31362）
ロボットファイルにはアクセス先のサイトに用いる認証情報を持たせることが可能で、認証情報は暗号化されるが、暗号化には固定の鍵が使われている。
→暗号化用の鍵を知っている者によってロボットファイルに含まれている認証情報を窃取される

・インポート機能における信頼できないデータのデシリアライゼーション（CVE-2013-7285）
Management Consoleには古いバージョンのXstreamライブラリが使われており、信頼できないデータのデシリアライゼーションに関する脆弱性が存在する。
→ Management Console上で任意のコードを実行される

・Design Studioライセンス認証における信頼できないデータのデシリアライゼーション（CVE-2025-31932）
Management ConsoleにはDesign Studioのライセンス認証機能も含まれているが、同機能には信頼できないデータのデシリアライゼーションに関する脆弱性が存在する。
→ Management Console上で任意のコードを実行される

　JVNではそれぞれ、下記の対策を推奨している。

・CVE-2025-31362、CVE-2025-31932
　開発者が提供する情報をもとに緩和策を実施

・CVE-2013-7285
　影響を受けるバージョンの修正サポート期間が終了しているため、開発者はバージョンアップを推奨している。バージョンアップが難しい場合は、緩和策の実施を推奨している。

元の記事を読む

編集部おすすめ