分散トランザクション管理ツール「Apache Seata」に脆弱性

育成プロジェクト「Apache Incubator」となっている分散トランザクション管理ツール「Apache Seata」に脆弱性が明らかとなった。

現地時間8月7日にセキュリティアドバイザリを公開し、信頼できないデータをデシリアライズする脆弱性「CVE-2025-53606」について明らかにしたもの。「同2.4.0」が影響を受ける。

開発チームは、同脆弱性の重要度を4段階中もっとも低い「低（Low）」とレーティングした。現地時間7月21日にリリースした「同2.5.0」にて同脆弱性を解消しており、利用者にアップデートを呼びかけている。

一方、米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、共通脆弱性評価システム「CVSSv3.1」における同脆弱性のベーススコアを「9.8」と評価。重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングした。

さらにGitHubでは、「CVSSv4.0」においてベーススコアを「8.1」、重要度を「高（High）」とするなど、重要度の評価に差異が見られる。

7月に明らかにされた「CVE-2025-32897」についても、開発チームは重要度を「低（Low）」にとどめる一方、米CISAでは「クリティカル（Critical）」と評価していた。

（Security NEXT - 2025/08/20 ）ツイート