シーメンス Polarion XSS脆弱性が認証済み攻撃者によるシステム侵害のリスクを露呈 (ICSA-26-043-02)

CISAアドバイザリで公開されたシーメンス PolarionのXSS脆弱性 (ICSA-26-043-02)

米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、アドバイザリICSA-26-043-02において、シーメンス Polarionソフトウェア（バージョンV2506より前）に存在するクロスサイトスクリプティング（XSS）脆弱性の詳細を公開しました。この脆弱性により、認証済みのリモート攻撃者がユーザーのブラウザセッション上で悪意のあるスクリプトを実行し、セッションハイジャックやデータ窃取、さらなる攻撃への足がかりを得る可能性があります。

技術的詳細

• 脆弱性の種類: クロスサイトスクリプティング（XSS）
• 影響を受けるソフトウェア: シーメンス Polarion（バージョンV2506より前）
• 攻撃ベクトル: 認証済みリモートからの悪用
• 影響: 被害者のブラウザ上での任意スクリプト実行
• CVE ID: アドバイザリでは明示的に割り当てられていない
• CSAFドキュメント: CSAF詳細を参照

この脆弱性は、入力検証が不十分なために発生し、攻撃者が悪意のあるJavaScriptコードをウェブインターフェースに注入することが可能です。認証が必要ではありますが、悪用に成功した場合、攻撃者はユーザーセッションを操作したり、機密データを窃取したりすることができます。

影響分析

シーメンス Polarionは、広く採用されているアプリケーションライフサイクル管理（ALM）プラットフォームですが、脆弱なバージョンを使用している組織は、以下のようなリスクにさらされています。

• セッションハイジャック: 攻撃者がセッションクッキーを盗み出したり、正規ユーザーになりすましたりする可能性。
• データ漏洩: プロジェクトの機密データ、認証情報、知的財産が漏洩するリスク。
• 二次的な攻撃: XSSがフィッシングやマルウェア配信など、さらなる攻撃の足がかりとなる可能性。

緩和策と推奨事項

シーメンスは、この脆弱性に対処するためにPolarion V2506をリリースしています。CISAは、組織に対して以下の対策を推奨しています。

1. 即時パッチ適用: Polarion V2506以降へアップグレードする。
2. アクセス制限: Polarionへのアクセスを信頼できるユーザーに限定し、強固な認証を実施する。
3. 悪用の監視: 不審な活動（予期しないスクリプト実行や不正なセッションアクセスなど）がないかログを確認する。
4. ユーザー教育: XSS脆弱性を悪用する可能性のあるフィッシングや不審なリンクを認識できるよう、スタッフを訓練する。

詳細については、CISAアドバイザリ（ICSA-26-043-02）およびCSAFドキュメントを参照してください。