インプリムのプリザンターに認証不備、LDAP利用企業は構成確認と更新を

JVNは2026年10月23日、株式会社インプリムが提供するプリザンターのLDAP認証に、認証不備の脆弱性があると公表しました。特定の構成では、有効なログインIDを知る第三者がパスワードなしでログインする恐れがあり、利用企業はバージョンと認証設定の確認が必要です。

対象は版だけでなく、稼働環境と接続先で決まる

対象バージョンはプリザンター1.1.0.0から1.5.9.0までです。ただし、この範囲のすべての環境が影響を受けるわけではありません。LDAP認証という、接続先のディレクトリサービスを使って利用者を確認する仕組みを設定していることが前提です。

そのうえで、次の稼働環境と接続先の両条件を満たす構成が対象になります。

• 稼働環境：Linux(Docker版を含む)、またはWindowsでDsProviderにNovellを指定している。
• 接続先：Active Directory、または匿名バインドを許可したLDAPサーバーを使っている。

匿名バインドは、認証情報なしで接続する仕組みです。匿名バインドを許可した接続先の例として、OpenLDAPと389 Directory Serverが挙げられています。

「Linuxで動いている」「Active Directoryにつないでいる」という一つの情報だけでは判定できません。版、LDAP認証の利用、稼働環境、接続先を組み合わせて確認する必要があります。

パスワードなしのログインと、登録情報への操作の恐れ

脆弱性の識別番号はCVE-2026-113438です。JVNによると、特定構成で細工されたリクエストに対するパスワード検証が不適切で、認証処理内の重要な手順の欠如に分類されています。

有効なログインIDを知る第三者がログインした場合、そのユーザーの権限で登録情報を閲覧・改ざん・削除される恐れがあります。問題はログインできることだけではなく、そのアカウントが操作できる情報にも及びます。

修正はバージョン1.5.9.1に含まれ、JVNは最新版への更新を呼びかけています。更新が難しい場合、開発者は回避策の適用を推奨しています。ただし、回避策の詳細は開発者への問い合わせが必要です。

影響する会社・しない会社

• 影響する: 対象版でLDAP認証を設定し、Linux(Docker版を含む)で稼働させ、Active Directoryまたは匿名バインドを許可したLDAPサーバーに接続している会社です。
• 影響する: 対象版でLDAP認証を設定し、WindowsのDsProviderにNovellを指定して、上記の接続先を利用している会社です。
• 影響しない: LDAP認証を設定していない構成、または公表された稼働環境と接続先の両条件を満たさない構成は、今回示された影響条件には該当しません。
• 影響しない: 修正版の1.5.9.1では、この脆弱性は修正済みです。会社の規模による対象の違いは、発表には書かれていません。

情シスが今日やること

1. 今日の確認対象として、社内のプリザンター環境を洗い出します。運用記録や管理担当者への確認で、稼働中のバージョンとLDAP認証の利用有無を記録してください。確認に使う管理画面の名称や操作経路は、発表には書かれていません。
2. LDAP認証を使う環境は、サーバー管理者と認証基盤の担当者に構成確認を依頼します。LinuxかWindowsか、Docker版か、WindowsならDsProviderがNovellかを確認します。接続先がActive Directoryか、それ以外なら匿名バインドを許可しているかも照合します。
3. 対象と分かった環境は、運用責任者と業務部門に、パスワードなしのログインや登録情報への操作の恐れを知らせます。最新版への更新について、担当者と実施日を決めてください。JVNが示した具体的な更新期限は、発表には書かれていません。
4. 更新が難しい場合は、開発者へ回避策の詳細を問い合わせます。問い合わせ時には、版、稼働環境、DsProvider、接続先の情報をそろえます。適用方法が確認できるまでは、独自の設定変更を公表された回避策として扱わないようにしてください。