概要
Web Ofisi Firma v13に、SQLインジェクションの脆弱性（CVE-2019-25457）が発見されました。この脆弱性は、認証されていない攻撃者が「oz」配列パラメータを介して悪意のあるSQLコードを注入し、データベースクエリを操作することを可能にします。結果として、機密性の高いデータベース情報が抽出される可能性があります。本脆弱性は深刻度「HIGH」（CVSSv3スコア8.8）と評価されています。
影響範囲
本脆弱性の影響を受ける製品は以下の通りです。
- Web Ofisi Firma v13
詳細なバージョン情報については、ベンダーからの公式情報を参照することが推奨されます。
想定される影響
本脆弱性が悪用された場合、以下のような影響が想定されます。
- 認証されていない攻撃者によるデータベースからの機密情報（ユーザー情報、設定情報など）の不正な抽出。
- 報告されている攻撃手法は情報抽出に焦点を当てていますが、データベースの改ざんや削除といった、より広範な操作が行われる可能性も考えられます。
攻撃成立条件・悪用状況
攻撃成立条件
- Web Ofisi Firma v13が稼働している環境。
- 攻撃者は、カテゴリページへのGETリクエストにおいて、「oz[]」パラメータに悪意のあるSQLインジェクションペイロード（時間ベースのブラインドSQLインジェクションなど）を注入します。
- 認証は不要です。
悪用状況
現在のところ、具体的な悪用状況に関する詳細な情報は提供されていません。しかし、脆弱性の性質上、悪用されるリスクは高いと考えられます。
推奨対策
今すぐできる対策（優先度：高）
- ベンダーからのパッチ適用: Web Ofisi Firma v13のベンダーから提供される修正パッチを速やかに適用してください。これが最も効果的かつ推奨される対策です。
中長期的な対策
- 入力値の厳格な検証: アプリケーション開発者は、ユーザーからの入力値（特に「oz」のような配列パラメータ）に対して、SQLインジェクションを防ぐための厳格な検証とサニタイズ処理を実装してください。
- プリペアドステートメントの使用: データベースクエリを構築する際には、プリペアドステートメントやパラメータ化クエリを使用し、SQLインジェクションのリスクを低減してください。
- 最小権限の原則: データベースユーザーには、必要最小限の権限のみを付与し、万が一の侵害時の被害を最小限に抑えてください。
- Webアプリケーションファイアウォール (WAF) の導入: WAFを導入することで、SQLインジェクション攻撃パターンを検知し、ブロックできる可能性があります。
一時的な緩和策
ベンダーパッチが利用可能になるまでの間、Webアプリケーションファイアウォール (WAF) を導入し、SQLインジェクション攻撃パターンを検知・ブロックするルールを設定することが一時的な緩和策として有効な場合があります。ただし、WAFは万能ではないため、根本的な解決にはなりません。
確認方法
- 現在利用しているWeb Ofisi Firmaのバージョンを確認し、本脆弱性の影響を受けるバージョンであるかどうかを確認してください。
- システムログやWAFのログを監視し、不審な「oz」パラメータを含むGETリクエストがないか確認することも有効です。