「Pandas」にゼロデイ脆弱性が報告されるも誤りと判明

Python向けに提供されているデータ分析ライブラリ「Pandas」において一時ゼロデイ脆弱性が指摘されたが、その後誤りであることが判明した。

最新版となる「同2.2.2」も影響を受けるゼロデイ脆弱性として報告され、一時「CVE-2024-42992」が採番されたもの。

その後採番機関より取り下げられ、セキュリティ上の問題がないことも確認されたことから、CVE番号は「拒絶」扱いとなった。当初示された実証コードとされるリファレンスなどへのリンクも削除されている。

MITREや米国立標準技術研究所（NIST）による脆弱性データベース「NVD」では、「CVE-2024-42992」を使用しないよう求めている。

同脆弱性は当初、システム内部の任意のファイルを取得できる脆弱性として報告され、現地時間8月23日に「NVD」へ収録された。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）では、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「7.5」と評価するも、同月25日には「0.0」に修正していた。

（Security NEXT - 2024/08/27 ）ツイート