うちの会社も同社の製品使ってまして、まさに以下の状況に。

>私: 私としては、SQLインジェクションもディレクトリトラバーサルも、
>緊急事態だとは思わなかったのですよ。なぜなら、うちのサイボウズを
>使っている他のユーザたちが、ログインしたうえでSQLインジェクションや
>ディレクトリトラバーサルで攻撃するなんてことは、ないだろうと思ったからです。
>サ: はい。
>私: だから、最新版に入れ替える必要はないと思いましたよ。
>ところが、日経BPの記事を読むと、ログインしていなくても
>ユーザの名前が見えてしまう別の脆弱性もあるのだと。
>これで初めて、緊急事態だと思いましたが、あなたがたが
>告知しないから、この事態に気づかないままになるところでしたよ？
(高木浩光＠自宅の日記より引用)

イントラネットでの使用だから、外部から攻撃を受ける可能性は低い。
(うちでサイボウズ製品使っていることを知っていて、その鯖のIPアドレスなり
URLを把握しているなり取得するなどしててユーザーに攻撃プログラムを
実行させるというのはそれなりに面倒)
だから、緊急で対応する必要はなく、そのうちヒマを見て対応すればいいでしょう。
と、セキュリティー部門責任者(非技術者)に回答したわけで。

----

サイボウズ社の対応を一言で表現するなら「泥縄」。

全く改善しないよりはマシだけど、高木氏に指摘されたときに
素直にごめんなさい改善しますってやればいいのに
そこで突っぱねておいて、騒ぎになってからあわてて取り繕うのは
非常に見苦しい。

まず、脆弱性をユーザーが分かるように告知しないとした
セキュリティポリシーがクソ。
次に、「お客様対応責任者」が自分の権限において高木氏の
提案を却下することにしたなら、この人も無能。
ただの会社のスピーカーはいらない。
他の責任部署とかけあってやっぱダメとなったなら、会社がクソ。

こんなんだと、多分またそのうち同じことをやるんじゃないですかね。
さらに、サイボウズ社の言っていることはあまり信用できないから
ホントのところはもっとヤバい修正を履歴にすらのせずに
内緒でしているかも知れないって疑いもでてきますわな。

先生のページが/.-edされちゃって503が出やすくなってる見たいですね。みなさん少しゆとりをもってアクセスしましょう。

この件には続きがあって、昨日対応が少し入ったみたいです。
→http://takagi-hiromitsu.jp/diary/20060901.html#p01 [takagi-hiromitsu.jp]

以前にも『大企業でも使える』と銘打ったサイボウズガルーンで、ログイン後のクッキーを書き換えると好きなユーザに成り済まし放題って脆弱性がありました。

というか、今もある。
これについてはサイボウズも認識しているはずなのですが放置プレイのままです。

Login用のクッキーはエンコードしてあるんだけど、アカウントを渡すパラメータが平文のままで、こいつを偽装すると成り済ましが可能ってのはバグとかミスとかって過失の問題ではなくデザインとかセキュリティをないがしろにする姿勢の問題なんじゃないかと。

＃ガルーンを使っている人は試してみよう！

そう言う風に姿勢の問題だと思えば、今回の対応なんかも、なるほどって納得できるよね。

ガルーン２になって直っている風情なんですが、２は２で製品のラインナップ上の問題がいろいろあるので簡単には乗り換えられないし。

新しい告知 [cybozu.co.jp]ではユーザーリストが取得できる脆弱性が入っています。

単純にサポート部門の権限では安易に要求を受けることができなかっただけではないかな?

サイボウズがこの前買収したNS総研って自分のグループのサイトがクラックされると自社発行の改竄情報に載せない仕様があるようで。Wikipedia [wikipedia.org]

以前からご連絡差し上げております件について、
闇改修でも良いので、直してください。 > サ社担当者殿

怖くてケータイからのアクセスを開放できなくて困ってます。

よろしくお願いします。

社内の関係者であっても、問題を発生する人はいるとおもいますよ。
実際に、嫌がらせ目的でやられました。

仕事がまともに進められない、ちょっとしたことで騒ぐ人がいまして、今回もこちら側が穴拭きをやったのですが。
Webで数日で作り上げる必要があって、間に合わないことはわかってました。
なので、機能を少しずつあげようという形にしたのですが。
Webで公開して数日して、社内でWebの問題点で誹謗中傷してきました。そこだけでは満足しなかったので、2chで内部事情をばらしまくりました。そのときからWebへの攻撃がひどくて、攻撃があるたびに社内で批判メールをおくりまくるという人間がいました。
その上、被害者面して、他の板でもワンワン吠えまくって、噛み付いたりしてあばれていたようですが。
最終的には社内全員に無視されましたけどね。
そして逆切れして、特定の人を誹謗中傷へとコテハンで騒いでという流れに。

社内の人間であっても注意するべきなんだけどね。

ほかには、社内事情に詳しい人を意図的にヘッドハントして、そこから得られる情報を利用して妨害なんてのもやられたこともあるし。

同種製品の過去の脆弱性話を置いときますね。

• iOfficeとdesknet'sにパスワードなしでログインできるセキュリティ・ホール [nikkeibp.co.jp](2002/07/29)

  ネオジャパンへ約10カ月前の2002年5月22日に問題を報告。その約半年後の2002年12月にdesknet'sでは欠陥が修正された。しかし，その時点ではiOfficeV3の欠陥は修正されず，desknet'sについてもセキュリティ問題の告知がなされていないため，少なくない数のユーザーが，最新版へ乗り換える必要性を認識しておらず，旧バージョンのまま使用していると考えられた。数回にわたる問い合わせの後，ネオジャパンより2003年3月 14日，「来週中に公開する」という回答があった。しかし，3月24日朝にいたっても告知は行われなかった。

• 「desknet's」に3回目のクロスサイトスクリプティングの脆弱性 [mycom.co.jp](2005/6/6)

「広くセキュリティホールを告知してクラッカーにも情報を行き渡らせた場合」
と、
「セキュリティホールを内緒にしておいて、そのせいで、多くのユーザがセキュリティホールを放置した場合」
で、実際にどちらが被害の期待値としては大きいのか調査した研究ってないのかな。

実際には、ソフトのシェアとか、セキュリティホールの質とか、あるいは、ソフトウェア更新の難易度などがパラメータになって、単純に結論づけるのは難しいのだろうけど。

まあもちろん、原則的には、情報は広く行き渡らせて、かつ、多くのユーザがセキュリティホールを放置することがないような更新の仕組みをきちんと用意するってのが一番大事なのは間違いないんですが。

• プライバシーと安全性 [srad.jp]

プライバシーや安全性軽視は社風なのかと思った。

このトピでモデしたやつのIPを公表すると、楽天みたいにサイボウズの偉い人が謝罪するようなことになったりしませんか？

> 危険な状況が少ない脆弱性については告知するが、
> 第三者から攻撃され得る脆弱性については告知しない
> (更新履歴やFAQには書いておくが積極的に知らせることをしない)
> という方針

ナニソレ? どうでもいいものだけ表面的に告知して、
本当に危険なものは知らんぷり?

ユーザーは気づかずに使い続けることを推奨するってこと?

サイボウズOffice 6を使用しているので，うちの対応をどうしようかと思いながら読みました。
うちの場合は事務部門である程度メンテできる必要があるという理由もあり，WebサーバはIISで作ってしまっています。 Webサーバのログはとっていて，外部からのアクセスは許していないので（外部から利用する一部ユーザはSSHでトンネルを掘って使用しています）今回の更新は見送ろうと思います。

今回の件では微妙にサイボウズ担当者に同情してしまいました。この手のソフトはそもそもイントラネット内で閉じた使い方を想定して作っているでしょうから。
インターネットからイントラネットとしてのサイボウズシリーズにアクセスできてしまう, まずいシステム構築の仕方をするユーザが多いことが本当の問題かと。

というか, 誰も, 今のサイボウズが Web 2.0 とか feedpath とかに夢中で, レガシーな Cybozu Office がないがしろにされているということを指摘しないのかな ?
Cybozu Office の中の人は, 優秀な技術者の集団らしいラボからも相手にされず, モチベ下がりまくりなんでしょうな.
これじゃあ, 必然的に製品品質にもその悪影響が現れざるを得ないワケで. ある意味, 同情を禁じ得ません. ( 棒読み