Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「PHP-IMAP」の添付ファイル保存処理にRCE脆弱性

PHP環境向けにIMAP通信の機能を提供するサードパーティのプログラム「PHP-IMAP」に深刻な脆弱性が明らかとなった。アップデートが提供されている。

同プログラムは、ネイティブの「php-imapモジュール」をインストールすることなく、PHP環境で「IMAP」による通信を可能とするラッパープログラム。Webklexがメインテナーとなっている。

受信したメールより添付されたファイルを保存する機能を使用し、ファイル名などを適切に処理していない場合に、ディレクトリトラバーサルが可能となる脆弱性「CVE-2023-35169」が明らかとなった。悪用されるとリモートより任意のコードを実行されるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.0」、重要度は「クリティカル(Critical)」とレーティングされている。同脆弱性の評価では、攻撃条件の複雑さが「高(High)」とされているものの、すでに実証コード(PoC)も公開されている。

開発者は、同脆弱性を解消した「同5.3.0」を現地時間6月20日にリリース。できる限り早急に更新するよう呼びかけている。

(Security NEXT - 2023/06/22 ) このエントリーをはてなブックマークに追加

PR

関連記事

中学校で生徒用端末から教員用資料が閲覧可能な状態に - 文京区
エレコム製の複数無線「LAN」ルータに3件の脆弱性
イズミ、ランサム被害で宅配など一部サービスを停止 - 新店舗オープンを延期
メールアカウント3件に不正アクセス、個人情報が流出 - 近畿大関連会社
マイナンバー含むデータ入力を委託先が無断で再委託 - 熊谷市
GitLab、アップデートで4件の脆弱性を修正
「GitLab」に月例セキュリティリリース - 深刻な脆弱性を解消
「GitHub Enterprise Server」に10件の脆弱性 - アップデートで修正
「Apache Tomcat」にアップデート - 「同8.5.x」は3月31日にサポート終了
「ClamAV」にアップデート - 脆弱性2件を解消