テンプレエンジン「Twig」にサンドボックス回避の脆弱性

PHP向けのテンプレートエンジン「Twig」のサンドボックスモードに複数の脆弱性が明らかとなった。アップデートが呼びかけられている。

サンドボックスモードにおいて、許可されていないメソッドの呼び出しが可能となる脆弱性「CVE-2024-51754」が明らかとなったもの。想定していないデータアクセスや実行が行われるおそれがある。

「CVE-2024-51755」についても、サンドボックスにおいて配列やメソッドに適切な制限が実施されておらず、本来アクセスが制限されるオブジェクトへアクセスすることが可能となる。

CVE番号を採番したGitHubでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアをそれぞれ「2.1」「2.2」にとどめており、重要度は「低（Low）」とした。

開発チームでは、これら脆弱性を「Twig 3.14.1」「同3.11.2」で修正。サポートが終了している旧バージョンも脆弱性の影響を受けるが、アップデートの提供予定はないとしている。

（Security NEXT - 2024/11/07 ）ツイート