プロジェクト管理ツール「Redmine」に深刻な脆弱性 - アップデートで修正

プロジェクト管理ツール「Redmine」に複数の脆弱性が明らかとなった。深刻な脆弱性も含まれており、開発チームではアップデートで脆弱性を解消している。

「同5」以降に添付ファイルにおけるアクセス制御不備の脆弱性「CVE-2022-44030」が判明したもの。開発チームでは重要度を「クリティカル（Critical）」とレーティングしている。

さらに全バージョンにおいて、「Textile記法」の処理に起因する「クロスサイトスクリプティング（XSS）」の脆弱性2件「CVE-2022-44031」「CVE-2022-44637」が存在。重要度はいずれも「高（High）」とされている。

さらに重要度が「中（Moderate）」とされるサービス拒否の脆弱性「CVE-2022-39209」のほか、オープンリダイレクトの脆弱性なども明らかとなった。

米国立標準技術研究所（NIST）の脆弱性データベース「NVD」において、共通脆弱性評価システム「CVSSv3.1」のベーススコアは、「CVE-2022-44030」が「7.5」と評価されている。「CVE-2022-44031」「CVE-2022-44637」についてはいずれも「6.1」、「CVE-2022-39209」は「6.5」とした。

「CVE-2022-44637」については、ブロードバンドセキュリティの志賀拓馬氏が情報処理推進機構（IPA）へ報告したもので、JPCERTコーディネーションセンターが調整を実施した。開発チームでは、脆弱性を修正した「同5.0.4」「同4.2.9」を12月1日にリリースしており、アップデートを呼びかけている。

（Security NEXT - 2022/12/14 ）ツイート

プロジェクト管理ツール「Redmine」に深刻な脆弱性 - アップデートで修正

関連リンク

PR

関連記事