「Apache Seata」脆弱性、対象版に誤り - 一部で「クリティカル」との評価も

「Apache Incubator」としてプロジェクトの育成が進められている分散トランザクション管理ツール「Apache Seata」に脆弱性が明らかとなった。開発者は重要度を「低」としているが、「クリティカル」との評価もある。

開発チームが現地時間6月28日にアドバイザリを公表し、信頼できないデータをデシリアライズする脆弱性「CVE-2025-32897」について明らかにしたもの。

過去に公開された「CVE-2024-47552」が「同2.2.0」で解消済みとされていたが、対象バージョンが狭く定義されていたため、あらためて対象バージョンを拡大し、「CVE-2025-32897」が採番された。

開発グループは、脆弱性の重要度を4段階中もっとも低い「低（Low）」と評価。一方、米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」とし、重要度を「クリティカル（Critical）」とレーティングしている。

同脆弱性は、現地時間2025年3月3日にリリースされた「同2.3.0」にて修正されており、利用者にアップデートが呼びかけられている。また6月11日には「同2.4.0」もリリースされている。

（Security NEXT - 2025/07/07 ）ツイート