Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

テキストエディタ「GNU Emacs」に複数の脆弱性

テキストエディタ「GNU Emacs」にコマンドインジェクションの脆弱性が複数明らかとなった。パッチが提供されている。

最新版となる「同28.2」までのバージョンに「CVE-2022-48337」など3件の脆弱性が明らかとなったもの。

「CVE-2022-48337」は、タグ機能に明らかとなった脆弱性。TAGSファイルの作成時、対象となるソースコードファイルの名前にシェルメタ文字を含めることで、コマンドを実行させることが可能となる。

米国立標準技術研究所(NIST)の脆弱性データベース「NVD」では、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」、重要度を「クリティカル(Critical)」とした。一方Red Hatでは、CVSS基本値を「7.3」、重要度を「中(Moderate)」とレーティングしている。

また一部関数にも「CVE-2022-48339」や「CVE-2022-48338」などコマンドインジェクションの脆弱性が存在。「CVE-2022-48339」に関してNVD、Red HatともにCVSS基本値を「7.8」、「CVE-2022-48338」については「7.3」と評価している。

いずれも2022年12月にソースリポジトリでパッチが公開されており、一部ディストリビューションでは修正が行われている。

(Security NEXT - 2023/03/06 ) このエントリーをはてなブックマークに追加

PR

関連記事

標的型攻撃メールでPCがマルウェア感染 - 東大研究機関
「OpenSSL」にあらたな脆弱性2件 - 今後のアップデートで修正予定
既知の脆弱性10件、積極的な悪用に警戒を - 約10年前の脆弱性も
電子政府が推奨する「CRYPTREC暗号リスト」が改定
IBMの暗号鍵管理製品に複数の脆弱性 - アップデートを
「Microsoft Defender」で正規URLの誤検知が発生
関西電力かたるフィッシング - 未払い料金の請求を偽装
中学校で1クラス分の生徒健康診断票を紛失 - 二宮町
自動送信ログに個人情報含む不具合 - パナソニック製カーナビ
基幹システムがランサム被害、生産に支障なし - 食品包装メーカー