Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「TERASOLUNA Global Framework」などの旧版に脆弱性

NTTデータが提供するフレームワーク「TERASOLUNA Global Framework」「TERASOLUNA Server Framework for Java(Rich版)」の旧版にリモートよりコードの実行が可能となる脆弱性が明らかとなった。

2013年にリリースした「TERASOLUNA Global Framework 1.0.0(Public Review版)」や、2014年にリリースされた「TERASOLUNA Server Framework for Java(Rich版)2.0.5.1」以下のバージョンに脆弱性「CVE-2022-43484」が明らかとなったもの。ベースとなる「Spring Framework」が「同3.2.6」よりも古いことに起因するという。

「Spring4Shell」としても知られる「CVE-2022-22965」と同様、「ClassLoader」の操作が可能となる脆弱性としており、細工したデータを処理するとリモートよりコードを実行されるおそれがある。

JPCERTコーディネーションセンターでは、共通脆弱性評価システム「CVSSv3.0」におけるベーススコアを「9.8」と評価している。

NTTデータでは、脆弱性の周知を目的に情報処理推進機構(IPA)へ報告。JPCERT/CCが調整を実施した。フレームワークをバージョンアップするか、回避策を講じるよう呼びかけられている。

(Security NEXT - 2022/11/16 ) このエントリーをはてなブックマークに追加

PR

関連記事

共同利用対象外の個人情報をグループDBに誤送信 - JFRカード
中学校教諭が車上荒らし被害、個人情報が盗難 - 習志野市
研究者狙うサイバー攻撃、講演や取材の依頼を偽装
「Apache DolphinScheduler」にコードインジェクションの脆弱性
10月は9月同様の大規模DDoS攻撃は観測されず - IIJ調査
ゼロデイ脆弱性に対処した「Microsoft Edge」がリリース
Go向けSAMLライブラリに深刻な脆弱性 - アップデートが公開
修学旅行のテーマパーク内で県立高の生徒情報を紛失 - 埼玉県
市主催イベントの申込者宛メールで誤送信 - 三原市
「VMware Tools for Windows」に脆弱性 - 重要度は「低」