サーバ管理ツール「Convoy」に深刻な脆弱性 - アップデートがリリース

ホスティング事業者向けサーバ管理ツール「Convoy」に「クリティカル」とされる脆弱性が明らかとなった。アップデートが呼びかけられている。

一部コンポーネントにディレクトリトラバーサルの脆弱性「CVE-2025-52562」が判明したもの。任意のPHPファイルをサーバー設置し、認証を必要とすることなく、リモートよりコードの実行が可能となり、認証情報なども窃取されるおそれがある。

CVE番号を採番したGitHubでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを最高値である「10.0」と評価。重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

開発チームでは、現地時間6月19日に脆弱性を解消した「Convoy 4.4.1」をリリース。利用者へ早急にアップデートを実施するよう呼びかけている。

あわせてウェブアプリケーションファイアウォール（WAF）による緩和策についてもアナウンスしている。

（Security NEXT - 2025/06/24 ）ツイート