Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

プロジェクト管理ツール「Redmine」に深刻な脆弱性 - アップデートで修正

プロジェクト管理ツール「Redmine」に複数の脆弱性が明らかとなった。深刻な脆弱性も含まれており、開発チームではアップデートで脆弱性を解消している。

「同5」以降に添付ファイルにおけるアクセス制御不備の脆弱性「CVE-2022-44030」が判明したもの。開発チームでは重要度を「クリティカル(Critical)」とレーティングしている。

さらに全バージョンにおいて、「Textile記法」の処理に起因する「クロスサイトスクリプティング(XSS)」の脆弱性2件「CVE-2022-44031」「CVE-2022-44637」が存在。重要度はいずれも「高(High)」とされている。

さらに重要度が「中(Moderate)」とされるサービス拒否の脆弱性「CVE-2022-39209」のほか、オープンリダイレクトの脆弱性なども明らかとなった。

米国立標準技術研究所(NIST)の脆弱性データベース「NVD」において、共通脆弱性評価システム「CVSSv3.1」のベーススコアは、「CVE-2022-44030」が「7.5」と評価されている。「CVE-2022-44031」「CVE-2022-44637」についてはいずれも「6.1」、「CVE-2022-39209」は「6.5」とした。

「CVE-2022-44637」については、ブロードバンドセキュリティの志賀拓馬氏が情報処理推進機構(IPA)へ報告したもので、JPCERTコーディネーションセンターが調整を実施した。開発チームでは、脆弱性を修正した「同5.0.4」「同4.2.9」を12月1日にリリースしており、アップデートを呼びかけている。

(Security NEXT - 2022/12/14 ) このエントリーをはてなブックマークに追加

PR

関連記事

サーバがランサム感染、取引先情報が流出の可能性 - 無線通信機器メーカー
「CVEプログラム」のサービス停止を回避 - CISAがオプション期間を行使
1Qは「JVN iPedia」に8844件登録 - 「NVD」公開増加が影響
「Apache Roller」にPW変更後もログインセッションが破棄されない脆弱性
リモートアクセス製品「SonicWall SMA100」の既知脆弱性が標的に
「Java SE」にセキュリティアップデート - 脆弱性6件を解消
「Cisco Webex App」に脆弱性 - 不正な招待リンクでコード実行のおそれ
「CVEプログラム」の運用財団が設立 - 米政府契約終了を受け移行か
Windows向け「Horizon Client」に権限昇格の脆弱性 - パッチがリリース
「Chrome」に2件の脆弱性 - 重要度「クリティカル」も