セキュリティアドバイザリ

Keeper Connection Managerのセキュリティアドバイザリ

脆弱性情報開示プログラム

KeeperはBugcrowdと提携して、脆弱性情報開示プログラムを管理しています。https://bugcrowd.com/keepersecurityからレポートを送信するか、または[email protected]にメールを送信してください。

重大度（CVSS v3.1スコア）	CVE ID	説明	修正済みのKeeper Connection Manager（旧Glyptodon）のリリース
低（1.8）	CVE-2020-9497	RDPの静的仮想チャネルの不適切な入力検証	1.13, 2.1
中（5.9）	CVE-2020-9498	RDPの静的仮想チャネル処理におけるダングリングポインタ	1.13, 2.1
中（4.1）	CVE-2020-11997	接続履歴の可視性に関する制限の不整合	1.14, 2.2
中（4.4）	CVE-2021-41767	プライベートトンネル識別子が、アクティブな接続のプライベートでない詳細情報に含まれている可能性	1.16, 2.6
高（8.7）	CVE-2021-43999	SAMLレスポンスの不適切な検証	2.7

重要度の評価尺度

Keeper Connection Managerは、Keeper Connection Managerに影響を与える既知の各脆弱性の事実に基づく詳細情報を評価し、CVSS v3.1評価システムを使用して重大度の評価を割り当てます。この評価システムは、FIRST.Org, Inc.が所有する標準で、FIRSTが一般に利用できるように無償で公開しています。この評価システムは0.0から10.0までの数値評価を示し、それをCVSS標準とともに公開されている「定性的重大度評価尺度」に従って分類します。各スコアの割り当てを説明した具体的な分析は、その脆弱性に特化したドキュメント内にもあり、上記の表内にもリンクされています。

重大度	CVSSの評価範囲
なし	0.0
低	0.1 - 3.9
中	4.0 - 6.9
高	7.0 - 8.9
危険	9.0 - 10.0