Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「SpamAssassin」に脆弱性 - 悪意ある設定ファイルでコード実行のおそれ

オープンソースのスパム対策プラットフォーム「Apache SpamAssassin」に、悪意ある設定ファイルよりシステムコマンドを実行されるおそれがある脆弱性が明らかとなった。セキュリティアップデートをリリースしている。

悪意あるルール設定ファイル(.cfファイル)を処理した際に、システムのコマンドが実行されるおそれがある脆弱性「CVE-2020-1946」が明らかとなったもの。エクスプロイトが注入されるさまざまなシナリオが想定されるという。

米国立標準技術研究所(NIST)の脆弱性データベース「NVD」では、共通脆弱性評価システム「CVSSv3.1」における同脆弱性のベーススコアを「9.8」とし、「クリティカル(Critical)」とレーティングしている。

同ソフトの開発チームでは、「同3.4.5」にて脆弱性を修正。アップデートを呼びかけるとともに、利用者に対して信頼できるアップデートチャンネルや、サードパーティの設定ファイルのみを使用するよう注意を呼びかけている。

(Security NEXT - 2021/03/30 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

Adobe、複数製品にセキュリティ更新 - CVSS基本値「9.8」の脆弱性も
VMware、「vRO」など複数製品の脆弱性を修正
「Adobe Acrobat/Reader」に深刻な脆弱性 - 修正パッチが公開
MS、10月の月例セキュリティ更新をリリース - ゼロデイ脆弱性1件含む74件を解消
Google、「Chrome 94.0.4606.81」を公開 - 脆弱性4件を修正
「iOS 15.0.2」「iPadOS 15.0.2」がリリース - 悪用報告ある脆弱性に対処
Nike製アプリに脆弱性 - フィッシングに悪用されるおそれ
わずか3日、「Apache HTTPD」が再修正 - 前回修正は不十分、RCEのおそれも
独自コードで検証、「Apache HTTPD」の修正不備を発見
「Apache HTTPD」がアップデート - 一部脆弱性はすでに悪用済み