PHP向けPDF生成ライブラリに脆弱性 - 過去修正が不十分

URLやHTMLを指定し、画像やサムネイル、PDFなどを生成できるPHP向けラッパーライブラリ「snappy」に脆弱性が明らかとなった。アップデートが提供されている。

同ライブラリにおいてプロトコルのチェックに不備があり、「PHAR」において信頼できないデータをデシリアライズする脆弱性「CVE-2023-41330」が明らかとなったもの。3月に「CVE-2023-28115」が明らかとなり、「同1.4.2」にて対策を講じたが、修正部分をバイパスすることが可能だった。

フレームワークや開発コードにおいて同ライブラリを使用している場合、脆弱性を悪用されるとリモートよりコードを実行されるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は「クリティカル（Critical）」とレーティングされている。

開発者は、同脆弱性を解消した「同1.4.3」をリリース。アップデートが呼びかけられている。

（Security NEXT - 2023/09/11 ） ツイート

PR

関連記事

利用者ページにサイバー攻撃、詳細を調査 - 消費者金融事業者
検針員宅に空き巣、金庫から検針機器が盗難 - 鹿児島市
医療機関関係者向けの感染症週報速報メールで誤送信 - 新潟県
Cisco製FWにバックドア「FIRESTARTER」 - 新手法で永続化、侵害確認を
「Cisco ASA/FTD」脆弱性がDoS攻撃の標的に - 修正を再度呼びかけ
「MS Edge」にセキュリティ更新 - 脆弱性2件を修正
「DeepL」のChrome向け拡張機能にXSS脆弱性
先週注目された記事（2026年4月19日〜2026年4月25日）
「M365 Copilot」にオープンリダイレクトの脆弱性 - すでに修正済み
キャビネットで管理していた心理相談予約簿が所在不明 - 熊本市