「Apache Roller」にPW変更後もログインセッションが破棄されない脆弱性

Javaベースでマルチユーザーに対応したブログプラットフォーム「Apache Roller」に脆弱性が判明した。脆弱性を解消したアップデートが提供されている。

管理者やユーザーがパスワードを変更したあとも既存セッションが無効化されない脆弱性「CVE-2025-24859」が判明したもの。

パスワード変更後もアクティブとなっている既存ログインセッションが破棄されず、引き続き有効なままだという。

開発グループは、脆弱性の重要度を4段階中、上から2番目にあたる「重要（Important）」とした。共通脆弱性評価システム「CVSSv4.0」のベーススコアは、最高値となる「10.0」と評価されている。

開発チームでは、「Apache Roller 6.1.5」にて同脆弱性を修正。パスワードの変更やアカウントを無効化した際にセッションを失効するよう変更した。

（Security NEXT - 2025/04/17 ） ツイート

PR

関連記事

GitLabに10件の脆弱性 - アップデートを呼びかけ
「BIND 9」に緊急脆弱性 - 1パケットでDoS攻撃が可能
「Chrome 137」の早期安定版がリリース - 8件のセキュリティ修正
「Spring Security」の一部メソッド制御に認可バイパスの脆弱性
「OpenPGP.js」の署名検証に脆弱性 - 修正パッチをリリース
「a-blog cms」に「SSRF」など複数脆弱性 - アップデートで修正
PostgreSQL向けミドルウェア「Pgpool-II」に認証回避の脆弱性
「vCenter Server」「ESXi」などVMware製品に複数脆弱性
I-O DATAのNAS製品「HDL-T」シリーズに深刻な脆弱性
SAMLライブラリ「samlify」に「クリティカル」脆弱性