「Apache DolphinScheduler」にコードインジェクションの脆弱性

スケジューラープラットフォーム「Apache DolphinScheduler」のアラームプラグインに脆弱性が明らかとなった。

アラームのインスタンス管理において、コマンドインジェクションが可能となる脆弱性「CVE-2022-45462」が明らかとなったもの。

開発チームでは、ログインしたユーザーのみ悪用が可能となる脆弱性としており、重要度を「中（Moderate）」とレーティングしている。

一方、米国立標準技術研究所（NIST）の脆弱性データベース「NVD」では、権限に関係なく悪用できるとし、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」、重要度を「クリティカル（Critical）」と評価した。

同脆弱性は7月8日にリリースされた「同2.0.6」以降にて修正されており、同バージョン以降へアップデートするよう呼びかけられている。

（Security NEXT - 2022/12/01 ）ツイート