FTPサーバ「WingFTP」に深刻な脆弱性 - アップデートで修正

Wing FTP Softwareが提供しているFTPサーバソフトウェア「Wing FTP Server」に深刻な脆弱性が明らかとなった。5月にリリースされたアップデートで修正されている。

「同7.4.3」および以前のバージョンにおいて、アノニマスユーザーにアクセスを許可している場合、認証を必要とすることなく任意のコードが実行可能となるコードインジェクションの脆弱性「CVE-2025-47812」が明らかとなった。

ユーザー名の処理に不備があり、セッションファイルへ任意のコードを挿入することで、ログイン後に遷移するページでコードの実行が可能となる。共通脆弱性評価システム「CVSSv4.0」のベーススコアは、最高値である「10.0」と評価されている。

現地時間2025年5月10日にセキュリティ研究者が発見、同月12日にWing FTP Softwareへ報告した。

Wing FTP Softwareでは、現地時間2025年5月14日に脆弱性を修正した「同7.4.4」をリリース。最新版へアップデートするよう呼びかけている。

発見した研究者は、同ソフトウェアをLinux環境ではroot権限、Windows環境ではSYSTEM権限で稼働させるケースが多いと指摘。システムを乗っ取られるおそれがあるとして注意を呼びかけている。

（Security NEXT - 2025/07/08 ）ツイート