PEARライブラリ「Archive_Tar」の脆弱性、攻撃の標的に - CMSなどにも影響
PEARライブラリ「Archive_Tar」における既知の脆弱性が悪用されていることがわかった。同ライブラリを実装している環境において注意が必要だ。
信頼できないデータのデシリアライゼーションの脆弱性「CVE-2020-28948」や、「.tar」「.tar.gz」など特定ファイル形式の処理におけるパストラバーサルの脆弱性「CVE-2020-36193」について悪用が確認されたもの。
米サイバーセキュリティインフラストラクチャセキュリティ庁(CISA)では、現地時間8月25日にこれら脆弱性を「悪用が確認された脆弱性カタログ(KEV)」に追加、米連邦政府や行政機関に対して注意喚起を行った。
「CVE-2020-28948」については2020年の段階で実証コード(PoC)が確認されている。今回「KEV」に追加された脆弱性は2件のみだが、「Archive_Tar」に関してはシンボリックリンクの処理にパストラバーサルの脆弱性「CVE-2021-32610」なども明らかになっている。
同ライブラリは、コンテンツマネジメントシステム(CMS)など広く活用されており、利用環境において注意が必要。「Drupal」においても過去に同ライブラリの更新にともなうアップデートが実施されている。
(Security NEXT - 2022/08/26 )
ツイート
関連リンク
PR
関連記事
共同利用の顧客情報管理システムに不備 - 東北電力ネットワーク
メール誤送信、福祉サービス事業所のメアドが流出 - 埼玉県
「SugarCRM」脆弱性 - 9年前の修正にCVE番号
従業員メールアカウントがスパムの踏み台に - 河合楽器グループ会社
クラウドのファイル権限に設定ミス、URL指定でアクセス可能 - コスモ石油マーケ
前月の更新で脆弱性13件を修正 - Atlassian
「QNX SDP」の画像解析に深刻な脆弱性 - 修正版を公開
先週注目された記事(2025年6月15日〜2025年6月21日)
「学校給食センター見学試食会」の案内メールで誤送信 - 東大和市
「Cisco Meraki 」にDoS脆弱性 - SSL VPN処理で強制再起動