多くの企業・自治体が使う「Garoon」に脆弱性、地味な場所ほど見落とされる

まず初めに

結論から言う。「重大」ではなく「警告」水準だからと侮ってはいけない。Garoonはスケジューラーだけの地味なツールに見えて、ログインしっぱなしで使われる社内の情報共有基盤だ。地味な場所ほど、見落とされたときの被害範囲は広くなる。自分の勤務先がGaroonを使っているなら、この記事を読んだついでに情報システム部門へ一声かけておいて損はない。

何が起きているのか

JVNおよびサイボウズの発表によると、今回の脆弱性はパッケージ版Garoonのスケジューラー機能に存在するクロスサイトスクリプティングの問題です。対象は6.17.0および6.17.1で、深刻度を示すCVSSスコアはバージョン4.0で6.0、バージョン3.0で6.8と、最も深刻な「重大」ではなく「警告」に区分される水準です。攻撃が成立した場合、ログイン中の利用者のブラウザ上で第三者が仕込んだスクリプトが実行される可能性があるとされています。

サイボウズは同日、修正版として「Garoon 6.17 Service Pack 2」（6.17.2）を公開しました。サイボウズの方針では、発見された脆弱性は基本的に次期バージョンで修正する一方、CVSSスコアが7.0以上でOSSライブラリに起因しないものに限り、サポート対象の下位バージョンにも緊急パッチを提供するとしています。今回の脆弱性はこの緊急パッチの対象には該当せず、通常のバージョンアップによる対応となります。なお、対象はパッケージ版（自社サーバーに設置する形態）であり、サイボウズが運用するサーバー上で使う「クラウド版」は今回の発表の対象に含まれていません。

なぜ重要なのか

Garoonは、スケジュール管理や社内掲示板、ワークフローなどをまとめて提供するグループウェアで、10名規模の部署から数万人規模の組織まで導入されている、国内で広く使われている業務ソフトです。長野市役所など自治体をはじめ、企業・官公庁でも利用されており、社内の情報共有基盤として日常的にログインして使う利用者が多い点が特徴です。

ログイン中の利用者のブラウザで任意のスクリプトが実行されるというXSSの性質上、悪用された場合は、セッション情報の窃取や、業務上のなりすまし被害につながる可能性があります。日常的に使われる社内基盤ソフトであるからこそ、影響範囲は個人の設定ミスにとどまらず、組織全体の情報共有の安全性に関わります。

「警告」水準の脆弱性を軽視してはいけない理由

CVSSスコアで「重大」に分類されない脆弱性は、対応の優先度が下がりがちです。しかし今回のようなXSSの脆弱性は、単体では深刻度が中程度に見えても、フィッシングメールなど別の手口と組み合わされることで、実質的な被害につながる可能性があります。スコアの数字だけを見て「まだ大丈夫」と判断せず、日常的にログインしたまま使う業務システムである以上、優先度を落とさず対応することが実務的な備えになります。

私たちへの影響

影響を受けるのは、パッケージ版Garoonを6.17.0または6.17.1のバージョンで運用している組織です。自分の勤務先がGaroonを使っている場合、まずは情報システム部門やGaroonの管理者に、パッケージ版かクラウド版か、パッケージ版であればバージョンが6.17系かどうかを確認するとよいでしょう。クラウド版を使っている場合、または対象外のバージョンを使っている場合は、今回の脆弱性の対象ではありません。

対象バージョンに該当する場合は、サイボウズが公開した「Garoon 6.17 Service Pack 2」（6.17.2）へのアップデートが必要です。アップデート作業自体は、通常、情報システム部門やGaroonの運用を委託している事業者が行います。

初心者が知っておくべきこと

クロスサイトスクリプティング（XSS）は、Webサイトやシステムの入力欄などの不備を突いて、本来そのサイトが表示するはずのない悪意あるプログラム（スクリプト）を、閲覧者のブラウザ上で動かしてしまう攻撃手法です。攻撃が成立すると、閲覧者本人が気づかないうちに、ログイン情報が盗まれたり、意図しない操作が行われたりすることがあります。

Garoonのような社内システムの場合、日常的にログインしたまま使う利用者が多いため、システム管理者による迅速な修正版の適用が、利用者一人ひとりの操作以上に重要な防御策になります。一般の利用者としては、修正版が適用されているかどうかは基本的に管理者側の対応に委ねられますが、システムの動作に見慣れない画面や挙動が現れた場合は、自己判断で操作を続けず、情報システム部門に相談することが安全です。

IT Postの見方

IT Postでは、Garoonのように多くの企業・自治体で日常的に使われる基盤ソフトの脆弱性は、個々の利用者が直接対策できる範囲が限られる分、組織のシステム管理者が発表を見落とさず迅速に対応できる体制を整えているかどうかが、被害の有無を大きく左右すると考えます。今回のCVSSスコアは「重大」ではなく「警告」水準ですが、業務システムへのログイン情報が関わる以上、軽視してよい水準ではないと考えます。

今後どうなりそうか

サイボウズはこれまでも、Garoonの脆弱性情報を継続的に公表し、修正版の提供を続けてきました。今後も同様に、新たに見つかった脆弱性はバージョンアップの形で順次修正されていくとみられます。Garoonを利用する組織では、脆弱性が公表されるたびに個別に対応するのではなく、サイボウズの発表を定期的に確認し、計画的にバージョンアップを行う運用が実用的です。