【重要】プリザンターのLDAP認証における認証回避の脆弱性
■概要
プリザンターのLDAP認証機能に、特定の条件下で、パスワードを正しく検証しないままログインを許可してしまう認証回避の脆弱性が見つかりました。
悪用されると、有効なログインIDを知っている第三者が正しいパスワードを知らなくても、そのユーザーとしてログインし、情報を閲覧・改ざん・削除するおそれがあります。
■影響を受ける環境
1. 影響を受けない認証方式
次の認証方式をご利用の場合は、本脆弱性の影響を受けません。
・ローカル認証（プリザンター標準の認証）
・SAML認証
・パスキー認証
・二段階認証（メール、TOTP）
・統合Windows認証
※認証方式は、Authentication.jsonの「Provider」をご確認ください。"LDAP"または"LDAP+Local"と設定されている場合は、LDAP認証ご利用の環境となりますので「2. 影響を受ける組み合わせ」をご確認ください。
※LDAP認証とローカル認証を併用（Provider: "LDAP+Local"）している場合、影響を受けるのはLDAP認証でログインするユーザーのみです。
2. 影響を受ける組み合わせ
LDAP認証をご利用の場合は、プリザンターの構成と接続先のLDAPサーバーの組み合わせで、次のとおり該当するかが決まります。
| プリザンターの構成 | Active Directory | OpenLDAP等（匿名バインドを許可） | OpenLDAP等（匿名バインドを拒否） |
|---|---|---|---|
| (1) Linux環境（Docker版を含む） | 該当 | 該当 | 対象外 |
| (2) Windows環境で「DsProvider」に「Novell」を指定 | 該当 | 該当 | 対象外 |
| (3) Windows環境で「DsProvider」が既定値（null） | 対象外 | 対象外 | 対象外 |
・プリザンターを、Linux環境（Docker版を含む）、またはWindows環境で「DsProvider」※に「Novell」を指定して動かしている
・接続先のLDAPサーバーが、Active Directory、または匿名バインドを許可しているOpenLDAP、389 Directory Serverなどである
3. 対象バージョン
バージョン1.1.0.0以降が対象です。Community Edition、Enterprise Editionの両方が該当します。
※DsProvider
Authentication.jsonの設定項目で、1.3.41.0以降で追加されました。指定していない場合は既定値（null）です。
設定内容は以下のマニュアルをご参照ください。
https://pleasanter.org/ja/manual/setup/parameters/authentication-json/
■脆弱性の説明
通常のログイン画面の操作では発生しません。
しかし、通常の操作では送信されない形に細工したリクエストを認証処理へ送信された場合、サーバー側でのリクエストの検証が不十分なため、接続先LDAPサーバーの設定によってはパスワードを正しく検証しないまま認証成功と判定される問題がありました。
ログイン画面にアクセスできる第三者であれば、特別な権限や準備がなくても悪用できます。
■脆弱性がもたらす脅威
悪意のある第三者が細工したリクエストを送信することで、正しいパスワードを知らなくてもそのユーザーとしてログインできます。
その結果、そのユーザーの権限でプリザンターに登録された情報を閲覧・改ざん・削除されるおそれがあります。
■対策方法
1. 「影響を受ける環境」の条件を満たす環境のお客様
【対策：バージョンアップ】
・本脆弱性の修正版1.5.9.1（2026年10月23日リリース）以降へバージョンアップしてください。
・1.5.9.0（2026年10月13日リリース）には本脆弱性の修正が含まれていません。1.5.9.0をご利用の場合は、1.5.9.1以降へバージョンアップしてください。
・バージョンアップ手順は以下のマニュアルをご参照ください。バージョンアップに関するご相談は、サポートユーザの皆様は専用のWeb問い合わせ窓口にて承ります。
https://pleasanter.org/ja/manual/setup/version-up-migration/version-up-manually/
https://pleasanter.org/ja/manual/setup/version-up-migration/migration/
【バージョンアップが困難な場合】
・システムの運用上の事情などにより、バージョンアップが難しいお客様は、下記の連絡先までご相談ください。ご利用環境やご事情をお伺いしたうえで、対応方法をご案内いたします。
2. プライベートクラウドご利用のお客様
・LDAP認証は未設定のため、対象外です。弊社にて確認済みのため、お客様での対応は不要です。
3. Pleasanter.netご利用のお客様
・LDAP認証は未設定のため、対象外です。弊社にて確認済みのため、お客様での対応は不要です。
■更新履歴
2026.10.23 この脆弱性情報を公開しました。
■連絡先
本件につきまして、ご不明な点がございましたら以下よりお問い合わせください。
お問い合わせフォーム：https://pleasanter.org/contact/