「Apache Commons Text」に脆弱性「Text4Shell」 - 冷静な対応を
文字列の処理機能を提供するライブラリ「Apache Commons Text」に深刻な脆弱性が明らかとなった。「Log4Shell」を想起させる「Text4Shell」とも呼ばれているが、「Log4Shell」ほどのインパクトはなく、利用者は冷静に対応する必要がある。
「同1.5」以降において、動的に文字列を差し込むことができる文字列補間機能に脆弱性「CVE-2022-42889」が明らかとなったもの。一部で別名「Text4Shell」「Act4Shell」とも呼ばれている。
デフォルトの状態においてスクリプトやDNSリクエスト、URLなどを処理できる状態となっており、信頼できないデータを処理すると、任意のコードを実行されたり、意図しないアクセスが生じるおそれがある。
米国立標準技術研究所(NIST)の脆弱性データベース「NVD」では、共通脆弱性評価システム「CVSSv3.1」において同脆弱性のベーススコアを「9.8」、重要度を「クリティカル(Critical)」とレーティングしている。
開発チームではアップデートとなる「同1.10.0」をリリース。文字列補間機能における問題部分をデフォルトで無効化した。
(Security NEXT - 2022/10/20 )
ツイート
関連リンク
PR
関連記事
ウェブサーバにバックドア、DBの個人情報が窃取被害 - 楽待
一部「SonicOS」のSSL VPNに脆弱性 - DoS攻撃のおそれ
「Chrome」にアップデート - セキュリティ関連の修正4件
「BentoML」に深刻な脆弱性 ─ ファイルアップロード処理に起因
2Qの脆弱性届出は99件 - ウェブサイト関連が倍増
SAML認証ライブラリ「Node-SAML」に再度深刻な脆弱性
「VMware vCenter」にDoS脆弱性 - アップデートをリリース
Instagramアカ乗っ取り、フォロワーにDM - ブライダル会社
海外拠点を直接支援するセキュサービスを拡充 - KDDIとラック
「PowerDNS Recursor」にDNSキャッシュポイズニングの脆弱性