Visma lagar bugg i Tendsign

Computer Sweden rapporterade i morse om en säkerhetsblotta i Tendsign som är landets mest använda upphandlingsverktyg. Felet har öppnat för att, under vissa omständigheter, ta del av konkurrenters inskickade frågor.

Normalt ska endast upphandlande myndighet kunna se frågorna. Buggen har gjort det möjligt att koppla frågor till ett företag och även se ännu obesvarade frågor, vilket kan ge ledtrådar i det egna anbudsarbetet.

– Det är korrekt att det under en tid har funnits en bugg i Tendsign som gjort det möjligt för användare att få tillgång till en begränsad mängd information som inte borde ha varit tillgänglig, bekräftar Marie Ceder, vd på Visma Commerce, för Inköpsrådet.

Svagheten upptäcktes när två användare från ett och samma företag, som registrerat gratiskonton, kunde se varandras information kring samma annons. Trots att detta inte ska vara möjligt. Den information som exponerats är frågor och svar kring upphandlingsannonser.

– Detta kräver dock att man skapat ett konto i ett specifikt företags namn och letat upp en viss upphandling där frågor har ställts kring just annonsen.

Potentiellt sett skulle detta kunna missbrukas om någon bedrägligen registrerar ett konto i ett företags namn.

– Vad vi vet just nu finns dock inte några sådana kända fall. Denna bugg är nu åtgärdad och det går inte längre att komma åt denna information.

Marie Ceder betonar att Visma som teknikbolag alltid tar säkerhet och kunders information på största allvar:

– I de fall vi får rapporter om förmodade buggar och sårbarheter i våra produkter och lösningar så gör vi alltid vårt yttersta för att skyndsamt göra en bedömning av fallet och om så skulle krävas åtgärda problemet med minsta möjliga kundpåverkan som följd.

Hon ser mycket allvarligt på denna blotta och beklagar att den inträffat.

– Ingen information från anbudshandlingar har kunnat nås genom denna bugg.

Visma Commerce ser nu över rutinerna kring hur gratiskonton skapas i verktyget för att ytterligare undvika att det kan missbrukas.