Java向けセキュリティライブラリ「pac4j」にRCE脆弱性

主要なJavaフレームワークに対応するセキュリティライブラリ「pac4j」に脆弱性が明らかとなった。「同4.0.0」より以前のバージョンに影響があり、アップデートが呼びかけられている。

信頼できないデータをデシリアライズする際に、オブジェクトのインスタンス化が適切に制御されない脆弱性「CVE-2023-25581」が明らかとなったもの。

一部クラスにおいて外部制御された値を格納する場合に影響があり、リモートよりコードを実行されるおそれがある。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは「9.2」、重要度は「クリティカル（Critical）」とレーティングされている。

2023年2月に報告が行われ、同月CVE番号が採番されていた。すでに実証コード（PoC）も公開されている。

2020年4月にリリースされた「同4.0.0」で脆弱性は修正されており、利用者に対して同バージョン以降を利用するよう呼びかけられている。

（Security NEXT - 2024/10/15 ）ツイート