検索NeSC を見る
脆弱性・CVE速報深刻度: 高

プリザンターの LDAP 認証で、ログイン ID だけでパスワードなしにログインされる恐れ（CVE-2026-113438・1.1.0.0〜1.5.9.0・1.5.9.1 で修正）

World Security 編集部
AI 支援あり
目次（6）

CVE-2026-113438

プロジェクト管理・業務アプリ作成ツールプリザンター（インプリム）の LDAP 認証に、パスワードを正しく確かめないままログインを許してしまう脆弱性（CVE-2026-113438）が公表されました。有効なログイン ID を知っていれば、パスワードなしでそのユーザーとしてログインされる恐れがあります。評価は CVSS v3.0 で 6.5（v4.0 で 6.9）です。1.5.9.1 で修正されています。JPCERT/CC は JVN#82312317 として 2026-10-23 に公開し、開発元も同日に案内を出しています。

内容

JVN と開発元の案内によると、特定の構成で特別に作られたリクエストを受けたとき、LDAP 認証がパスワードを正しく検証しません（CWE-304）。有効なログイン ID だけで認証を通り抜けられる恐れがあり、ログインしたアカウントの権限で、登録情報の閲覧・改ざん・削除が行われるおそれがあります。攻撃に事前の認証や利用者の操作は要りません（PR:N・UI:N）。どのようなリクエストを送るかは公表資料に書かれておらず、本稿は公開情報を読んだだけで、再現はしていません。攻撃の手順は載せません。

影響を受ける構成

次の 2 つをどちらも満たす 場合が対象です。

  • プリザンターを Linux 環境（Docker 版を含む）、または Windows 環境で「DsProvider」に「Novell」を指定 して動かしている。
  • 接続先の LDAP サーバーが Active Directory、または 匿名バインドを許可している OpenLDAP・389 Directory Server など である。

対象バージョンは 1.1.0.0〜1.5.9.0 で、Community Edition・Enterprise Edition の両方です。次の場合は影響を受けないと開発元は説明しています。

  • ローカル認証、SAML 認証、パスキー認証、二段階認証（メール・TOTP）、統合 Windows 認証を使っている（認証方式は Authentication.json の「Provider」で確認できます）。
  • Windows 環境で「DsProvider」が既定値（未指定）である。
  • 接続先が匿名バインドを拒否する OpenLDAP などである。
  • 「LDAP+Local」の併用では、影響を受けるのは LDAP 認証でログインする利用者だけです。

評価

指標値
CVSS v3.0（JVN・NVD の登録元 JPCERT/CC）6.5 AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
CVSS v4.0（同）6.9
CWECWE-304（認証処理内の重要な手順の欠如）
EPSS（FIRST・11/6 時点）0.0024（上位約 85%）
CISA KEV掲載なし（11/7 確認）
  • NVD は 2026-10-26 に登録しましたが、確認時点では状態が「Deferred」（NVD 自身の評価は未実施）で、上の点数は登録元の値です。
  • 認証なしですが CVSS が 9.0 未満のため、当サイトの基準では high を案とします。ただし、乗っ取られるアカウントが管理者なら影響は点数より大きくなります。

修正と回避策

  • 修正: 1.5.9.1。開発元は更新を求めています。
  • 回避策: 更新が難しい場合、開発元はワークアラウンドの適用を勧めていますが、具体的な内容は開発元への問い合わせが必要とされ、公表資料には書かれていません（未確認）。

利用者が考えられること

  1. Authentication.json の「Provider」を見て、LDAP（または LDAP+Local）を使っているか確認します。
  2. 使っている場合、プリザンターの動く環境（Linux・Docker か、Windows で DsProvider が Novell か）と、接続先の LDAP サーバーの種類を照らし合わせます。
  3. 対象なら 1.5.9.1 以降へ更新します。すぐに更新できなければ、開発元にワークアラウンドを問い合わせ、それまでプリザンターへの接続元を社内の端末に絞ります。
  4. 更新前に、管理者などの権限の高いアカウントの不審なログインや、データの不審な変更がないかを確認します。

未確認の点

  • 攻撃に使うリクエストの具体的な内容。
  • 悪用の有無（CISA KEV には掲載なし。JVN・開発元の案内にも悪用の記載なし）。
  • ワークアラウンドの具体的な内容、1.5.9.1 の公開日、NVD 自身の評価。

この記事について

AI の利用
本記事は AI が JVN・開発元の案内・NVD などの公開情報をもとに作成しました。数値は取得時点（2026-11-07）のもので、未確認の点は本文に明記しています。

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事