C20/100
脆弱性 · 中
SS1とrocoeyesに複数の脆弱性
ティアC · 経過を注視 – 影響を受けるか確認
影響を受ける人： SS1／SS1クラウドおよびrocoeyesを利用する環境
ティアCの理由： 開発者に影響
影響範囲
攻撃
被害
修正
要点
- 株式会社ディー・オーのSS1／SS1クラウドに複数の脆弱性が存在することがJVNで公開された
- 株式会社ロココが提供するODM製品rocoeyesにも複数の脆弱性が存在する
- 情報源には具体的な脆弱性の種類、CVE、CVSSスコア、修正版の情報はない
なぜ重要か
SS1／SS1クラウドやrocoeyesを導入・開発している事業者は、JVNの公開情報で影響範囲と対策の有無を確認する必要がある。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中1項目が「はい」
| はい | 開発者に影響 | SS1クラウドはSaaS、rocoeyesはODM機器であり、IT部門や運用チームが利用する製品に該当するため |
| いいえ | 基幹インフラ | ニッチな業務向け製品に限られ、ほぼすべての開発チームが運用する基幹ソフトウェアではないため |
| いいえ | 人気ツール | 一般的な開発フレームワークやツールではなく、広く使われる技術ではないため |
| いいえ | 悪用確認済み | JVN: 複数の脆弱性が存在すると記載のみで、悪用された攻撃は報じられていない |
| いいえ | 公開エクスプロイト | JVN: 脆弱性の存在を示すアドバイザリーのみで、エクスプロイトや詳細な概念実証は示されていない |
| いいえ | 認証不要のリモート攻撃 | JVN: 攻撃条件や認証の要否についての記述がなく、確認できない |
| いいえ | 完全な乗っ取り | JVN: 影響の種類についての記述がなく、コード実行や権限奪取は確認できない |
| いいえ | シークレットの流出 | JVN: 情報漏えいや認証情報の流出についての記述はない |
| いいえ | サプライチェーン | JVN: 悪意あるコードの配布や正規パッケージの侵害についての記述はない |
| いいえ | 修正なし | JVN: 修正の有無についての記述がなく、未修正とは報じられていない |
タイムライン
JVNで脆弱性情報が公開
jvn.jp
SS1／SS1クラウドおよびそのODM製品rocoeyesにおける複数の脆弱性
出典
SS1／SS1クラウドおよびそのODM製品rocoeyesにおける複数の脆弱性 ↗ jvn.jp · 2時間前