プリザンター CVE-2026-113438LDAP認証でパスワードなしログイン

何が起きているか

事実（JVN）

• JPCERT/CCとIPAは2026年10月23日、JVN#82312317で、株式会社インプリムの業務アプリ作成基盤「プリザンター」のLDAP認証に、認証不備の脆弱性（CVE-2026-113438、CWE-304 認証処理内の重要な手順の欠如）があると公表した。
• 特定の構成では、細工したリクエストを処理するときにパスワードを正しく検証しない。有効なログインIDを知る第三者が、パスワードなしでログインし、その利用者の権限で登録情報を閲覧・改ざん・削除できる可能性がある。
• CVSS 4.0は6.9、CVSS 3.0は6.5（AV:N/AC:L/PR:N/UI:N/C:L/I:L/A:N）。
• 開発者自身がIPAに報告し、JPCERT/CCが調整した。悪用の情報は書かれていない。

影響を受ける製品・バージョン

• プリザンター 1.1.0.0 から 1.5.9.0 まで（JVN）。
• 影響を受けるのは、LDAP認証を設定し、次をどちらも満たす場合だけ。
  1. Linux環境（Docker版を含む）で動かしている、またはWindows環境で Authentication.json の DsProvider に Novell を指定している
  2. 接続先のLDAPサーバーが、Active Directory、または匿名バインドを許しているOpenLDAP、389 Directory Serverなど
• WindowsでDsProviderを既定（Novell以外）のまま使う構成や、LDAP認証を使わない構成は、JVNの条件には当てはまらない。

修正版・回避策

• 修正版は 1.5.9.1（JVN）。
• 更新が難しい場合のワークアラウンドを開発元が推奨しているが、内容は公開されておらず、開発元への問い合わせが必要（JVN）。開発元の告知ページは、本稿執筆時点で確認できなかった。

今すぐやること

1. Authentication.json の Provider が LDAP または LDAP+Local か、DsProvider の値、動かしているOSを確認する。
2. 接続先がActive Directoryか、OpenLDAPなどで匿名バインドを許しているかを確認する。
3. 当てはまれば1.5.9.1以降へ更新する。すぐにできない場合は開発元へワークアラウンドを問い合わせ、それまでの間は外部から到達できる経路を絞る（考察）。
4. プリザンターのログイン履歴で、本人が使っていない時間帯・接続元からのログインがないかを確認する。管理者アカウントを優先して見る（考察）。

考察

• CVSSより実害が重い構成がある: 基本値は6.5だが、ログインIDは社員番号やActive Directoryのアカウント名など推測しやすい形式であることが多い。管理者のIDが分かれば、その権限で全データに触れる。CVSSの評価（機密性・完全性とも「低」）は、一般利用者を想定したものと読める。
• 条件の意味: JVNは仕組みを説明していないが、条件が「Active Directory、または匿名バインドを許すLDAPサーバー」であることから、パスワードを空にした問い合わせがLDAP側で「匿名（未認証）バインド」として成功扱いになり、それをアプリがログイン成功と取り違える、古くからある型に近いと推測する。WindowsのADSI（既定のDsProvider）とNovellのLDAPライブラリで振る舞いが違う点も、それと矛盾しない。確定した説明ではない。
• 社内向けでも油断しない: LDAP認証を使う構成は社内ネットワークに置かれることが多いが、在宅勤務向けに外から使えるようにしている例もある。社内のみでも、侵入された端末からの横展開に使われうる。

出典

• JVN#82312317: プリザンターのLDAP認証における認証不備の脆弱性（JVN、2026-10-23）
• LDAP認証を利用する（プリザンターユーザマニュアル）