Dayforce Payroll のパスワード復旧機能における時間ベースのブラインド SQL インジェクション脆弱性により不正なデータ漏えいが発生
Dayforce Payroll R2026.2.0 のパスワード復旧機能には、入力検証の欠如により、時間ベースのブラインド SQL インジェクション（CWE-89）のセキュリティ上の欠陥が存在します。認証されていない攻撃者は、任意の SQL クエリをパラメータに含む特定の GET リクエストを作成できます。このパラメータが SQL 述語の一部として解釈されることで、時間ベースのブラインド SQL インジェクションが発生します。ベンダーへの連絡がつかなかったため、現時点では R2026.2.0 でのみ確認されていますが、他のバージョンも影響を受ける可能性があります。攻撃者は認証なしで遠隔からこの脆弱性を悪用し、時間遅延からデータベースの内容を推測できます。その結果、機密性の高い給与データの漏えいやシステムの完全性の侵害につながる可能性があります。
コンポーネント
Dayforce Payroll は、従業員の給与、税務およびコンプライアンス業務を処理する企業向け人事・給与管理ソフトウェアです。
リスク
- 不正アクセス：攻撃者は資格情報なしで攻撃を開始でき、パスワード復旧インタフェースを直接探索できます
- データ漏えい：時間ベースのブラインド SQL インジェクションにより、攻撃者は従業員の給与や個人識別情報（PII）など、データベース内の機密情報を段階的に抽出できます
- 完全なシステム制御：他の脆弱性や設定ミスと組み合わせた場合、攻撃者がさらに任意の SQL コマンドを実行し、データの改ざんや削除を引き起こす可能性があります
- ユーザー操作不要の攻撃：攻撃はサーバー側の処理ロジックの欠陥のみに起因し、被害者によるクリックや操作は一切必要ありません
出典
対処方法
- Web アプリケーションファイアウォール（WAF）に SQL インジェクションの特徴を検出するルールを導入し、特に時間遅延型の攻撃に対応してください
- パスワード復旧インタフェースの入力パラメータに厳格な許可リスト検証を適用し、パラメータ化クエリを使用してください
- サーバー応答時間の異常を監視し、ブラインド SQL インジェクション攻撃の兆候を検出してください
