Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

プロジェクト管理ツール「Redmine」に深刻な脆弱性 - アップデートで修正

プロジェクト管理ツール「Redmine」に複数の脆弱性が明らかとなった。深刻な脆弱性も含まれており、開発チームではアップデートで脆弱性を解消している。

「同5」以降に添付ファイルにおけるアクセス制御不備の脆弱性「CVE-2022-44030」が判明したもの。開発チームでは重要度を「クリティカル(Critical)」とレーティングしている。

さらに全バージョンにおいて、「Textile記法」の処理に起因する「クロスサイトスクリプティング(XSS)」の脆弱性2件「CVE-2022-44031」「CVE-2022-44637」が存在。重要度はいずれも「高(High)」とされている。

さらに重要度が「中(Moderate)」とされるサービス拒否の脆弱性「CVE-2022-39209」のほか、オープンリダイレクトの脆弱性なども明らかとなった。

米国立標準技術研究所(NIST)の脆弱性データベース「NVD」において、共通脆弱性評価システム「CVSSv3.1」のベーススコアは、「CVE-2022-44030」が「7.5」と評価されている。「CVE-2022-44031」「CVE-2022-44637」についてはいずれも「6.1」、「CVE-2022-39209」は「6.5」とした。

「CVE-2022-44637」については、ブロードバンドセキュリティの志賀拓馬氏が情報処理推進機構(IPA)へ報告したもので、JPCERTコーディネーションセンターが調整を実施した。開発チームでは、脆弱性を修正した「同5.0.4」「同4.2.9」を12月1日にリリースしており、アップデートを呼びかけている。

(Security NEXT - 2022/12/14 ) このエントリーをはてなブックマークに追加

PR

関連記事

「楽々Document Plus」に脆弱性に脆弱性 - 修正パッチがリリース
プロキシサーバ「Squid」にサービス拒否の脆弱性
BIツール「Apache Superset」に脆弱性 - アップデートで修正
映画感想投稿キャンペーンで個人情報が閲覧可能に - 映画配給会社
講座申込者宛のメールで誤送信 - 都立特別支援学校
SNSアカを乗っ取られ、削除される - レンズメーカーのシグマ
取材メモがネット流出、派遣スタッフから - NHK
米当局、悪用リストから脆弱性1件を除外 - PoC機能せず、CVEは廃番
「macOS Sonoma 14.1.2」を公開、脆弱性を修正 - 旧OSには「Safari」のアップデート
Apple、「iOS 17.1.2」を公開 - ゼロデイ脆弱性2件に対応