Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Zend Framework 1」にSQLiの脆弱性 - 修正パッチが公開

ウェブアプリケーションフレームワークの「Zend Framework 1」に、「SQLインジェクション」の脆弱性が含まれていることがわかった。

同フレームワークの「Zend_Db_Select」オブジェクトにおいて、「ORDER BY」「GROUP BY」の引数を含むSQL文の処理に「SQLインジェクション」が可能となる脆弱性「CVE-2016-4861」が存在することが判明したもの。ただし、「同2」「同3」は影響を受けないとしている。

同脆弱性は、HASHコンサルティングの徳丸浩氏が情報処理推進機構(IPA)へ報告したもので、JPCERTコーディネーションセンターが調整を実施した。

開発チームでは、脆弱性へ対応したパッチ「同1.12.20」を公開。今回の修正は、2015年に実施した「CVE-2014-4914」への対策をさらに改善したものだという。

(Security NEXT - 2016/09/15 ) このエントリーをはてなブックマークに追加

PR

関連記事

MS、9月の月例パッチで脆弱性129件を修正
MS月例パッチが公開、脆弱性120件を修正 - すでに悪用も
2020年2Qの脆弱性届出、「サイト」「ソフト」いずれも減
「SD-WAN by VeloCloud」に脆弱性 - アップデートがリリース
WAFにDDoS防御機能を追加 - CDNetworks
EDRの調査や修正機能を強化 - ソフォス
狙われるZyxel製ネットワーク管理製品の脆弱性 - ボットネットも標的に
2020年1Qの脆弱性届け出は263件 - ウェブサイト関連が倍増
2月中旬から「Mirai」亜種が活発化か - JPCERT/CC観測
WP向けプラグイン「Paid Memberships Pro」にSQLi脆弱性