> For the complete documentation index, see [llms.txt](https://docs.keeper.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.keeper.io/release-notes/jp/keeper-security/security-advisories/cve-2023-36266.md). # CVE-2023-36266 CVE-2023-36266への対応 ## NISTリンク ## 説明 ある研究者が、Keeper Desktopおよびブラウザ拡張機能の使用時にローカルメモリがスキャンされる問題についてCVE (CVE-2023-36266) を申請しました。 ## Keeperへの影響 Keeperはこのご指摘には異議を唱えています。Keeperは、[NCC Group](https://www.nccgroup.com/us/)や[Cybertest](https://www.cybertest.com/)をはじめとする第三者の専門家、および独立したセキュリティ研究者による侵入テストを、全製品・全システムを対象に四半期ごとに実施しています。また、脆弱性開示およびバグバウンティプログラムの運用では[Bugcrowd](https://bugcrowd.com/keepersecurity)とも提携しています。これらのテストでは、アプリケーションの使用中とログアウト後の両方について、メモリ上でのシークレットの保存状況を明示的に検証しています。Keeperはログアウト時にボルトの復号済みデータをメモリから完全に削除するほか、ボルトの自動ロック時にもメモリを消去してアプリを再起動する設定を用意しています。この機能は侵入テストの担当者によって検証済みであり、テスト結果はお客様にもご確認いただけます。 どのソフトウェア製品でも同様ですが、攻撃者がローカルコンピューターを制御できる場合、その攻撃者はユーザーやアプリケーションが実行できる操作を行うことができます。パスワードマネージャーの場合、攻撃者が任意のメモリを読み取れる状況では、***アプリケーションの使用中に限り***、復号済みのパスワードマネージャーの内容を読み取られるおそれがあります。これはどのパスワード管理製品にも当てはまる事象であり、セキュリティ研究者の間でも、デバイスが完全に侵害された状況ではユーザーへの影響が深刻になることは広く認識されています。 Keeperは、侵害されたエンドユーザーデバイスから利用者を守るため、複数のセキュリティ機構を備えています。Keeperのクライアントソフトウェアは、ログインに成功した時点でのみユーザーのボルトを復号し、使用中の復号済みの値は揮発性メモリにのみ保持します。ユーザーがログアウトまたはタイムアウトになると、復号済みの値はメモリから削除されます。さらに、Keeperデスクトップアプリケーションでは「セキュリティ」画面の設定により、自動ログアウト時にアプリケーション全体を再起動させ、ロック時にデータが確実にクリアされるようにできます。Chromeなどのウェブブラウザの場合、Keeperはログアウト後にメモリの消去を要求しますが、ブラウザ自体のメモリ管理はKeeperの制御範囲外であり、メモリ管理システムによる処理の完了に時間がかかることがあります。 エンドユーザー向けソフトウェア全般において、セキュリティのベストプラクティスに従い、すべてのソフトウェアを最新の状態に保ち、適切なアンチウイルス / マルウェア対策ソフトウェアを導入することで、デバイスが侵害されるリスクを抑えることが重要です。 Keeperは10年以上にわたり、業界最高水準のゼロ知識およびゼロトラストのセキュリティモデルと、その内容を透明性を持って公開する姿勢により、お客様の最も重要なデータを守り続けてきました。Keeperのセキュリティおよび暗号化モデルについて詳しくは、以下をご覧ください。 [https://app.gitbook.com/s/eJwa6ByNJ2qindnPknCW/keeper-encryption-model](/enterprise-guide/jp/keeper-encryption-model.md) セキュリティ関連のお問い合わせは以下のメールアドレスまでご連絡ください。\ **メールアドレス**: --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://docs.keeper.io/release-notes/jp/keeper-security/security-advisories/cve-2023-36266.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.