OpenAtlas <=8.11.0 Hardcoded Admin Credentials Vulnerability (CVE-2025-51536)

重要情報 脆弱性情報 CVE-ID: CVE-2025-51536 製品: OpenAtlas メーカー: オーストリア科学アカデミー（Österreichische Akademie der Wissenschaften） 影響を受けるバージョン: <= 8.11.0 修正バージョン: 8.12.0 CVSS v3.1: 9.8 Critical CWE: CWE-1932 参考リンク: - OpenAtlas リリースノート - NVD (National Vulnerability Database) - EUVD (European Union Vulnerability Database) 脆弱性の説明 問題: デフォルトインストールにおいて、GitLab上で公開されているハードコードされた管理者アカウント が存在する。 影響: - パスワードを変更しない場合、この世界中に知られているログイン資格情報は有効なままとなり、すべての管理者権限を持つ。 - 外部攻撃者はすぐに登録し、アプリケーションを完全に乗っ取ることができる。 メーカー声明 新規インストールでは、インストールプロセスを通じてユーザーは作成されず、管理者アカウントの作成時に新しいパスワードの設定が要求される。 この脆弱性を解決し、管理者ユーザーを排除するには、一度限りの手順を完了する必要がある。 推奨される対応策 バージョン [8.12.0] に更新する 一時的な緩和策: 管理者パスワードを変更する タイムライン 2025年5月19日: On-Premiseテスト環境で脆弱性を発見。 2025年5月21日: メーカーに初めて連絡。 2025年5月22日: 確認の返信を受領。 2025年5月26日: 報告書をメーカーに送信。 2025年6月9日: メーカーにより脆弱性が修正されたことが確認される。 2025年6月10日: 再テストの実施を調整。 2025年6月12日: 再テスト成功、報告書を更新しメーカーに送信。

目標達成 すべての支援者に感謝 — 100%達成しました！

OpenAtlas <=8.11.0 Hardcoded Admin Credentials Vulnerability (CVE-2025-51536)

目標達成すべての支援者に感謝 — 100%達成しました！