「ZendTo」旧版に深刻な脆弱性 - 4年越しにCVE採番

ファイル転送共有ソフトウェア「ZendTo」に深刻な脆弱性が明らかになった。2021年当時のアップデートで修正済みだが、これまでCVE番号が発行されておらず、危険性などの認知も進んでいないとして注意が呼びかけられている。

認証を必要とすることなく、任意のコマンドを実行できる脆弱性「CVE-2021-47667」が確認されたもの。同脆弱性は「ZendTo 6.10-4」から「同5.24-3」までのバージョンに存在し、「同6.10-7」以降で修正されている。

問題とされる「CVE-2021-47667」は、外部より組織内のユーザーへファイルを送信するために利用される「ファイルドロップオフ機能」に存在。「POSTリクエスト」において、OSコマンドインジェクションにより攻撃者によって任意のコマンドが実行されるおそれがある。

同脆弱性のCVE番号は、MITREによって2025年4月5日に採番された。共通脆弱性評価システム「CVSSv3.1」のベーススコアは最高値である「10.0」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

今回CVE番号が採番されたのは、セキュリティ研究者が、同ソフトのアップデートにおける変更内容をログより確認していた際、2021年の修正に気付いたことがきっかけだったという。

（Security NEXT - 2025/04/08 ）ツイート