Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

プロジェクト管理ツール「Redmine」に深刻な脆弱性 - アップデートで修正

プロジェクト管理ツール「Redmine」に複数の脆弱性が明らかとなった。深刻な脆弱性も含まれており、開発チームではアップデートで脆弱性を解消している。

「同5」以降に添付ファイルにおけるアクセス制御不備の脆弱性「CVE-2022-44030」が判明したもの。開発チームでは重要度を「クリティカル(Critical)」とレーティングしている。

さらに全バージョンにおいて、「Textile記法」の処理に起因する「クロスサイトスクリプティング(XSS)」の脆弱性2件「CVE-2022-44031」「CVE-2022-44637」が存在。重要度はいずれも「高(High)」とされている。

さらに重要度が「中(Moderate)」とされるサービス拒否の脆弱性「CVE-2022-39209」のほか、オープンリダイレクトの脆弱性なども明らかとなった。

米国立標準技術研究所(NIST)の脆弱性データベース「NVD」において、共通脆弱性評価システム「CVSSv3.1」のベーススコアは、「CVE-2022-44030」が「7.5」と評価されている。「CVE-2022-44031」「CVE-2022-44637」についてはいずれも「6.1」、「CVE-2022-39209」は「6.5」とした。

「CVE-2022-44637」については、ブロードバンドセキュリティの志賀拓馬氏が情報処理推進機構(IPA)へ報告したもので、JPCERTコーディネーションセンターが調整を実施した。開発チームでは、脆弱性を修正した「同5.0.4」「同4.2.9」を12月1日にリリースしており、アップデートを呼びかけている。

(Security NEXT - 2022/12/14 ) このエントリーをはてなブックマークに追加

PR

関連記事

macOS向けアップデート - 複数脆弱性を修正
委託先にサイバー攻撃、顧客などへ脅迫メール届く - 北関東マツダ
様式と誤って個人情報含むファイルをメール送信 - 嘉手納町
調達業務の見積依頼で、受信者間にメアド流出 - 日本国際協力システム
多数システムでランサム被害、復旧や事業継続に追われる - ならコープ
正規の「リモート管理ソフト」が攻撃者のバックドアに - 米政府が警戒呼びかけ
狙われる「Telerik UI for ASP.NET AJAX」の既知脆弱性
「BIND 9」にサービス拒否の脆弱性 - アップデートが公開
メール誤送信で見学会予約者のメアド流出 - NEXCO東日本
MS&ADと米インシュアテック企業、サイバーリスク可視化で共同開発