【解説】Hinemosに権限不備｜一般ユーザーが管理者パスワード変更可

Hinemosを使う会社は、今日、管理者の権限設定を確かめてください。一般ユーザーが管理者のパスワードを変えられる脆弱性が、11月4日に公表されました。

マネージャの版を確かめる

まず、マネージャの版を確かめます。修正版は、7.2.0、7.1.2、7.0.4の、リリース番号2です。rpmコマンドで版を見て、番号が1のままなら未修正です。7.1.0などは、先に系列の最終版へ上げる段取りが要ります。

ALL_USERSの権限を変える

次に、ALL_USERSロールの権限を変えます。初期状態で、アカウント変更の権限が付いていたことが原因です。更新しても、既存環境のこの設定は自動では直りません。外す前に、アカウントを作る担当者用のロールを用意します。

管理者のログインを確かめる

最後に、すでに悪用されていないかを確かめます。管理者の全員に、今のパスワードでログインできるか試してもらいます。入れない人がいれば、書き換えられた可能性があります。保守が終わった6系は修正版が出ず、権限の見直しが手段です。

影響する版の一覧や、確認の手順は、記事で詳しく紹介しています。