構成管理ツール「Chef Automate」に深刻な脆弱性 - 9月初旬に修正

Progress Softwareが提供する構成管理ツール「Chef Automate」に深刻な脆弱性が明らかとなった。

x86アーキテクチャで稼働するLinuxで同製品を利用している場合に影響を受けるSQLインジェクションの脆弱性「CVE-2025-8868」「CVE-2025-6724」が明らかとなったもの。

「CVE-2025-8868」では、コンプライアンスサービスにおいて入力値の処理が不十分なため、制限された機能にアクセスすることが可能。情報漏洩につながるおそれがある。

一方「CVE-2025-6724」は複数のサービスにおいて判明した脆弱性としており、一定の権限を持つユーザーによって機密情報の取得やシステム操作を許すおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「CVE-2025-8868」が「9.8」、「CVE-2025-6724」は「8.8」と評価されている。重要度はそれぞれ「クリティカル（Critical）」「高（High）」とした。

これら脆弱性は現地時間2025年9月2日にリリースされた「Chef Automate 4.13.295」にて修正された。同バージョンではこれら2件の修正にとどまらず、依存するコンポーネントのアップデートなども実施されており、利用者にアップデートが呼びかけられている。

（Security NEXT - 2025/09/30 ）ツイート