Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

ライブラリ「libuv」にSSRFの脆弱性 - アップデートで解消

非同期入出力などに利用されるライブラリ「libuv」に脆弱性が明らかとなった。2月初旬のアップデートにて修正されている。

ホスト名を256文字に切り捨てるため、サーバサイドリクエストフォージェリ(SSRF)が可能となる脆弱性「CVE-2024-24806」が明らかとなったもの。

CVE番号を採番したGitHubでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「7.3」、重要度を4段階中、上から2番目にあたる「高(High)」評価。

一方米国立標準技術研究所(NIST)の脆弱性データベース「NVD」では、CVSS基本値を「9.8」、重要度をもっとも高い「クリティカル(Critical)」とレーティングしている。

同脆弱性は、2月7日にリリースした「libuv 1.48.0」にてバグとともに修正された。「Node.js」ではコアにおいて同ライブラリを実装しているが、現地時間2月14日にリリースしたセキュリティアップデート「Node.js 21.6.2」「同20.11.1」「同18.19.1」にて「CVE-2024-24806」の修正が反映されている。

(Security NEXT - 2024/02/21 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

「PAN-OS」に対するゼロデイ攻撃、国内被害は未確認
Palo Alto Networksの「PAN-OS」にゼロデイ脆弱性 - パッチを準備中
サポート詐欺で患者情報含むPCが遠隔操作できる状態に - 富田林病院
イベント申込フォームで設定ミス、個人情報が閲覧可能に - 会津若松市
学校で個人情報含む入学関係書類を誤廃棄 - 横須賀市
人材育成プログラム「SecHack365」が応募受付をまもなく開始
フィッシングURLが前月比約84%増 - 使い捨てURLを悪用
【特別企画】経営戦略に資するセキュリティを学ぶ「情報システムCAMP2024」が4月18日開催
工場スマート化のリスクや対策を解説したガイドライン別冊資料
セキュリティ学ぶ学生、同分野への就職希望は約7割 - JNSA調査