「Wget」非推奨機能に起因する脆弱性、アップデートで削除

GNUプロジェクトのコマンドラインツール「Wget」に脆弱性が明らかとなった。アップデートが提供されている。

「同1.24.5」および以前のバージョンにおいて、URLスキームを省略したURLを処理すると意図しない挙動が発生し、細工されたホストへ誘導される脆弱性「CVE-2024-10524」が判明したもの。

CVE番号を採番し、脆弱性を報告したJFrogによると、「CVE-2024-38428」の調査中に発見した脆弱性で、サーバサイドリクエストフォージェリ（SSRF）やフィッシング攻撃、中間者攻撃（MITM）などにつながるおそれがあると同社は指摘している。

共通脆弱性評価システム「CVSSv3.1」のベーススコアを「6.5」と評価しており、重要度を「中（Medium）」とレーティングした。

悪用には認証部分を制御できる必要があり、ユーザーの入力においてURLスキームが省略されることは少ないことから、実際に攻撃が成功する可能性は低いとしている。

（Security NEXT - 2024/11/21 ）ツイート