「SpamAssassin」に脆弱性 - 悪意ある設定ファイルでコード実行のおそれ

オープンソースのスパム対策プラットフォーム「Apache SpamAssassin」に、悪意ある設定ファイルよりシステムコマンドを実行されるおそれがある脆弱性が明らかとなった。セキュリティアップデートをリリースしている。

悪意あるルール設定ファイル（.cfファイル）を処理した際に、システムのコマンドが実行されるおそれがある脆弱性「CVE-2020-1946」が明らかとなったもの。エクスプロイトが注入されるさまざまなシナリオが想定されるという。

米国立標準技術研究所（NIST）の脆弱性データベース「NVD」では、共通脆弱性評価システム「CVSSv3.1」における同脆弱性のベーススコアを「9.8」とし、「クリティカル（Critical）」とレーティングしている。

同ソフトの開発チームでは、「同3.4.5」にて脆弱性を修正。アップデートを呼びかけるとともに、利用者に対して信頼できるアップデートチャンネルや、サードパーティの設定ファイルのみを使用するよう注意を呼びかけている。

（Security NEXT - 2021/03/30 ）ツイート