Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「SpamAssassin」に脆弱性 - 悪意ある設定ファイルでコード実行のおそれ

オープンソースのスパム対策プラットフォーム「Apache SpamAssassin」に、悪意ある設定ファイルよりシステムコマンドを実行されるおそれがある脆弱性が明らかとなった。セキュリティアップデートをリリースしている。

悪意あるルール設定ファイル(.cfファイル)を処理した際に、システムのコマンドが実行されるおそれがある脆弱性「CVE-2020-1946」が明らかとなったもの。エクスプロイトが注入されるさまざまなシナリオが想定されるという。

米国立標準技術研究所(NIST)の脆弱性データベース「NVD」では、共通脆弱性評価システム「CVSSv3.1」における同脆弱性のベーススコアを「9.8」とし、「クリティカル(Critical)」とレーティングしている。

同ソフトの開発チームでは、「同3.4.5」にて脆弱性を修正。アップデートを呼びかけるとともに、利用者に対して信頼できるアップデートチャンネルや、サードパーティの設定ファイルのみを使用するよう注意を呼びかけている。

(Security NEXT - 2021/03/30 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

コラボレーションツール「Cisco Unified CM」に脆弱性
「Git」にアップデート、複数の深刻な脆弱性に対処
TP-Link製の一部ルータに深刻な脆弱性 - アップデート未提供
Oracle、「Java SE」や「Oracle GraalVM Enterprise Edition」の脆弱性を修正
「ManageEngine」の脆弱性、悪用が発生 - 侵害の有無についても確認を
オープンソースの仮想スイッチ「Open vSwitch」に複数脆弱性
Cisco製の小規模向け一部ルータに脆弱性、PoCも - EOLで修正予定なし
NVIDIA製メタバースツールキットに脆弱性 - アップデートで修正
「Apache HTTPD」にアップデート - 脆弱性3件を修正
Oracleが定例アップデート公開 -のべ327件の脆弱性を修正