軽量プロクシ「Tinyproxy」に脆弱性 - 報告者と開発者に溝

「GitHub」にも脆弱性は提出されておらず、Linuxディストリビュータのパッケージメインテナから「IRCチャンネル」に連絡が入ったのは、脆弱性が公表されてから5日後だったという。

脆弱性が「IRC」や「GitHub」経由で報告されていたならば、ほぼ1日以内に修正されていたとし、約6カ月にわたり脆弱性が放置されることはなかったとして、報告者の主張に対して異議を唱えた。

さらに「CVE-2023-40533」に関しては、2022年に「CVE-2022-40468」が割り当てられており、ソースリポジトリ上で修正済みで、大きな問題ではないため、修正版のリリースがなかったと述べている。

脆弱性は最新版である「同1.11.1」も影響を受け、今後リリースされる「同1.11.2」にて修正される見込み。アップデートが提供されるまで、ソースリポジトリで公開されているパッチを適用するよう呼びかけられている。

（Security NEXT - 2024/05/07 ）ツイート