「Zend Framework 1」にSQLiの脆弱性 - 修正パッチが公開

ウェブアプリケーションフレームワークの「Zend Framework 1」に、「SQLインジェクション」の脆弱性が含まれていることがわかった。

同フレームワークの「Zend_Db_Select」オブジェクトにおいて、「ORDER BY」「GROUP BY」の引数を含むSQL文の処理に「SQLインジェクション」が可能となる脆弱性「CVE-2016-4861」が存在することが判明したもの。ただし、「同2」「同3」は影響を受けないとしている。

同脆弱性は、HASHコンサルティングの徳丸浩氏が情報処理推進機構（IPA）へ報告したもので、JPCERTコーディネーションセンターが調整を実施した。

開発チームでは、脆弱性へ対応したパッチ「同1.12.20」を公開。今回の修正は、2015年に実施した「CVE-2014-4914」への対策をさらに改善したものだという。

（Security NEXT - 2016/09/15 ） ツイート

PR

関連記事

DB管理ツール「pgAdmin 4」に脆弱性 - 3件が「クリティカル」
「OpenDJ」にクリティカル脆弱性 - アップデートで修正
「Splunk Enterprise」にアップデート - 「クリティカル」脆弱性など解消
6月公表の「Splunk Enterprise」脆弱性、悪用を確認
ウェブメール「Roundcube」に複数脆弱性 - アップデートが公開
「Drupal」のSQLi脆弱性、悪用確認で米当局が対策呼びかけ
「Drupal」に深刻なSQLi脆弱性 - 影響ない環境も更新を強く推奨
「Apache Flink」にコードインジェクションの脆弱性 - 重要度「クリティカル」
「MongoDB」に深刻な脆弱性 - 早急な対応を強く推奨
Ivanti、5月の月例アップデートを公開 - 「クリティカル」脆弱性も