独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は6月4日、Securly Chrome Extensionにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。CERT/CCで本件に関するアドバイザリが公表されている。
影響を受けるシステムは以下の通り。

Securly Chrome拡張機能のバージョン3.0.7

　K–12（幼稚園から高校）の学校管理下にあるChromebookで一般的に使用されているブラウザアドオン Securly Chrome拡張機能のバージョン3.0.7には、不安全なデータ送信、脆弱な暗号化、不適切なアクセス制御に関連する複数の脆弱性が含まれており、機密性の高いフィルタリングルールが漏えいしたり、ダウンロードされた設定ファイルが改ざんされたり、保護されたリソースへの認証不要なアクセスが可能になる恐れがある。

　攻撃者はこれらの脆弱性を悪用して、設定情報を盗み出したり、サービス拒否（DoS）を引き起こしたり、生徒ユーザー向けのコンテンツブロックルールを変更したりする可能性がある。

　CERT/CCでは、パッチが提供されるまでの間、管理者は、信頼できないネットワークやパブリックネットワークでの拡張機能の使用を制限し、基盤となるデバイスに学校管理のVPNを導入し、予期しないまたは異常なフィルタリング動作を監視することで、潜在的なリスクを低減できると案内している。

元の記事を読む

編集部おすすめ