脆弱性見つかった6製品、開発者から応答なく未修正 - 利用中止呼びかけ

脆弱性が見つかりながらも開発者と連絡が取れず、アップデートされずに脆弱性が放置されている6製品についてJVNで情報が公開された。利用の中止が呼びかけられている。

今回JVNを通じて脆弱性情報が公開されたのは「WebProxy」「QQQ SYSTEMS」「Tiny FTP Daemon」「ViX」「PHP 2chBBS」「ArsenoL」の6製品。「QQQ SYSTEMS」に関しては、4件の脆弱性が報告されている。

製品によって影響を受ける脆弱性の種類は異なるが、「バッファオーバーフロー」や「OSコマンドインジェクション」「クロスサイトスクリプティング（XSS）」などの脆弱性が報告されている。

いずれも開発者に対し、一定期間連絡を試みたが応答がなく、脆弱性の存在をを知らずに利用者が使用し続けるおそれがあり、情報セキュリティ早期警戒パートナーシップガイドラインの条件を満たしたとして周知を目的に情報が公開された。

脆弱性の影響を受けるおそれがあるとして利用中止を検討するよう呼びかけている。

（Security NEXT - 2018/03/13 ） ツイート

PR

関連記事

KDDIのISP向けメールシステム侵害 - 提供先6社に影響
「Drupal」コアに脆弱性 - 影響を受ける環境は限定的
Zyxel「GS1900」シリーズに脆弱性 - LAN経由でOSコマンド実行のおそれ
「Autodesk Fusion」に脆弱性 - 悪意あるページ閲覧でRCEのおそれ
ID管理基盤「OpenAM」にアップデート - 多数の脆弱性を修正
「WooCommerce」旧版にRCE脆弱性 - 実証コードも
「Node.js」に12件の脆弱性 - 修正版を公開
「FortiOS」の「SSL VPN」脆弱性に関するアドバイザリを更新
「Splunk Enterprise」にアップデート - 「クリティカル」脆弱性など解消
「Cisco ISE」にRCE脆弱性 - 端末の接続に影響するおそれも