IT資産管理のSnipe-ITに更新 8.8.1で依存部品12件、SSOとLDAPの不具合も

社員のパソコンやライセンスの台帳に使われるオープンソースの「Snipe-IT」が、10月20日に8.8.1を出しました。依存する部品の脆弱性12件を直したもので、ドイツのCERT-Bundは深刻度「高」の注意情報を出しています。ただ、開発元は「製品からは届かないものが大半」と説明しています。むしろ情シスが見ておきたいのは、10月上旬に公表されたSnipe-IT自身の不具合です。無効にした利用者がGoogleのSSOで入れる件など、ログインにかかわるものがあります。リリースノートと開発元の勧告から整理します。

8.8.1で直った依存部品の12件

Snipe-ITは、2026年10月20日(日本時間)に8.8.1を公開しました。8.8.0から673のコミット、77件の課題の解決、81件のセキュリティの修正を含むとしています。変更の一覧には、次の12件のCVEを、依存する部品を新しくして直したと書かれています。

点数だけを見ると高いものがあります。しかし開発元は、リリースノートで「変更の一覧のCVEに驚きすぎないでほしい。開発用の道具や、製品の動きには出てこない部品のものが大半で、実際の運用には当たらなかった。ただ、更新しておくことは大切だ」と説明しています。CERT-Bundの注意情報は、これらの部品のCVEをまとめて載せたものです。なお、CVE-2024-24821は2024年に公表されたComposer(PHPの部品の管理の道具)の脆弱性で、今回の部品の更新の中で直したものとして、一覧に並んでいます。米CISAのKEVには、10月20日時点でどれも載っていません。

なお、8.8.1はPHP 8.2以上が必要で、8.4以上を勧めています。更新の前に、サーバーのPHPの版を確かめます。

情シスが見ておきたいのは、10月上旬の自身の不具合

Snipe-ITは、10月6〜8日に、製品そのものの不具合を6件、GitHubのセキュリティ勧告として公表しています。8月にも4件を公表しました。

とくに、Googleのログインと、LDAPの不具合は、ログインの仕組みにかかわります。Googleの件は、メールアドレスを利用者名にしている場合などに、Snipe-ITで無効にしたのにGoogleのアカウントは生きている人が、ログインできたものです。LDAPの件は、途中の通信を見られる立場の人がいると、検索用のアカウントのパスワードと、利用者がログインで入れたパスワードが、平文で流れるおそれがありました。

影響する会社・しない会社

• 影響する: Snipe-ITを自社のサーバーで動かしている会社です。資産の台帳には、社員の名前、端末の番号、ライセンスのキーなどが集まるため、古い版のままにしておく影響は小さくありません。
• 影響する: Snipe-ITのログインに、GoogleのSSO、LDAP(StartTLS)、SAMLを使っている会社です。上の表の版より古ければ、ログインの記録とパスワードの扱いを見直します。
• 影響しない(可能性が高い): すでに8.8.1以降に上げている会社です。Snipe-ITの事業者のホスティング版を使っている場合の扱いは、リリースノートには書かれていないため、契約先に版を確かめます。

情シスが今日やること

• 版を確かめて、8.8.1に上げる。画面の下などで今の版を見て、8.8.1へ上げます。8.8.1はPHP 8.2以上が要るため、先にサーバーのPHPの版を確かめ、データベースとファイルの控えを取ってから、開発元の手順どおり更新します。
• 無効にした利用者のログインを確かめる。8.6.2以前でGoogleのSSOを使っていたなら、退職者や異動者など、無効にしたアカウントでログインの記録が無いかを見ます。
• LDAPの検索用のパスワードを見直す。8.6.2以前でStartTLSを使っていたなら、検索用のアカウントのパスワードを替えることを検討し、LDAPSなど、暗号化が失敗したら止まるつなぎ方にできるかを確かめます。
• 外への公開と強い権限を絞る。Snipe-ITをインターネットに出していないか、特権の管理者やAPIのトークン、バックアップの復元をできる人が、必要な人だけになっているかを棚卸しします。8月のバックアップの復元の件は、ログインした利用者がコードを実行できるものでした。