ファイル共有ツール「ProjectSend」の脆弱性 - 多くが未修正、悪用も

ファイル共有ツール「ProjectSend」において、認証不備の脆弱性が明らかとなった。すでに悪用されており、早急に更新するよう呼びかけられている。

認証プロセスの不備に起因する脆弱性「CVE-2024-11680」が明らかとなったもの。細工したリクエストにより、認証を必要とすることなくアプリケーションの設定を変更することが可能。

脆弱性を悪用された場合、不正なプログラムを設置されたり、新規アカウントの作成、悪意あるスクリプトの埋め込みなどが可能で、大きな影響を受けるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

ソースリポジトリでは、報告をもとに2023年5月に脆弱性のパッチが提供されていた。2024年7月に報告者によるアドバイザリが公開され、同年8月3日にリリースされた「ProjectSend r1720」で修正されている。

（Security NEXT - 2024/12/02 ）ツイート