アクセスポイント構築ソフト「RaspAP」に脆弱性

「Raspberry Pi OS」において無線LANのアクセスポイントなどを構築できるソフトウェアパッケージ「RaspAP」に深刻な脆弱性が明らかとなった。

「同2.8.7」から「同2.8.0」までのウェブインタフェースにコマンドインジェクションの脆弱性「CVE-2022-39986」が明らかとなったもの。認証なしにroot権限でコードを実行されるおそれがある。

米国立標準技術研究所（NIST）の脆弱性データベース「NVD」において、共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は「クリティカル（Critical）」とレーティングされている。3月9日にリリースされた「同2.8.8」にて修正された。

また「同2.9.2」において、認証済みのユーザーによりroot権限でコマンドの実行が可能となる脆弱性「CVE-2022-39987」が指摘されている。NVDによるCVSS基本値は「8.8」、重要度は「高（High）」。

いずれも研究者より現地時間7月31日に概念実証コード（PoC）が公表されている。8月1日に「同2.9.3」がリリースされているが、「CVE-2022-39987」の指摘部分において修正は含まれておらず、未修正の状態と見られる。

（Security NEXT - 2023/08/23 ）ツイート