「Samba」に深刻なRCE脆弱性 - アップデートが公開

「Samba」の開発チームは現地時間2025年10月15日、セキュリティアップデートとなる「Samba 4.23.2」「同4.22.5」「同4.21.9」をリリースした。

「同4.0」以降のバージョンが影響を受ける脆弱性「CVE-2025-10230」や、「同3.2」以降に「CVE-2025-9640」が確認されたことを受け、脆弱性を修正するアップデートをリリースしたもの。

「CVE-2025-10230」は、入力に対する検証不備に起因するコマンドインジェクションの脆弱性。「WINSサーバ」を有効化したドメインコントローラにおいて、「wins hookパラメータ」を設定している場合に影響を受ける。

認証を必要とすることなく、細工したリクエストを送信することで、任意のコードを実行することが可能。共通脆弱性評価システム「CVSSv3.1」のベーススコアは最高値である「10.0」と評価されている。

一方「CVE-2025-9640」は、一部モジュールにおいて初期化していないメモリを処理することに起因する脆弱性。認証されたユーザーによってメモリの一部を読み取られ、情報漏洩が生じるおそれがあり、CVSS基本値は「4.3」とした。

（Security NEXT - 2025/10/16 ）ツイート