ServiceDesk Plus オンプレミス版 ナレッジベース

概要

ServiceDesk Plusで、URLマッピングの正規表現（regex）ルールが過度に緩いことが原因で、ワイルドカードを悪用し、
本来は一致すべきでないサーブレットパスへ一致させることができる、権限昇格の脆弱性が発生する可能性があります。

重要度

高（High）と評価しています。

影響を受けるビルド

2025年8月28日現在、日本国内向けにリリースしているServiceDesk Plusのすべてのビルドが対象です。

ユーザーへの影響

攻撃者がServiceDesk Plus内で認証済みの低権限のユーザーアカウントを侵害することで、
低権限ユーザーが、管理者アカウントを含むすべてのアカウントを制御できるようになります。

これにより、データの漏えいや不正操作につながる可能性があります。

脆弱性の影響を確認する方法

• ［管理］→［一般設定］→［ポータル詳細設定］→［一般］で「ローカル認証に基づくユーザーログインを許可する」が「はい」になっている。
• SDAdminなどの高権限の役割を持つユーザーに任意のプライマリメールアドレス割り当たっていない。

上記を両方とも満たす場合、本脆弱性の影響を受ける可能性があります。

対処方法・回避策

2025年9月30日に本脆弱性に対応したServiceDesk Plusビルド「15120」の日本語版をリリースいたしました。
お手数ですが、当該ビルドへのアップグレードをご検討くださいますようお願いいたします。

なお、現在サポート対象のビルドをご利用中の場合、一時的な回避策として対象ビルドへの修正パッチの提供が可能です。
「技術サポートへのお問い合わせ」を参考に、現在ご利用中のServiceDesk Plusのビルド番号と併せて、弊社技術サポートまでお問い合わせください。