「Apache bRPC」に深刻なRCE脆弱性 - アップデートやパッチ適用を

RPCフレームワークとして分散システムなどで利用されている「Apache bRPC」に、リモートより任意のコマンドを実行されるおそれがある脆弱性が明らかとなった。

開発チームが現地時間2026年1月16日にメーリングリストで、ヒーププロファイラ機能を利用し、jemallocを用いてメモリプロファイリングを行っている場合にリモートから任意のコマンドを実行されるおそれがある脆弱性「CVE-2025-60021」について明らかにしたもの。重要度を「重要（Important）」とレーティングしている。

組み込みサービスとして提供されているヒーププロファイラ機能のビルトインサービスにおいて、パラメータの検証が適切に行われず、指定された値がそのままコマンドライン引数として実行されるおそれがある。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、共通脆弱性評価システム「CVSSv3.1」における同脆弱性のベーススコアを「9.8」、重要度を「クリティカル（Critical）」と評価した。

開発チームは「Apache bRPC 1.15.0」にて同脆弱性を解消したとし、同バージョン以降へアップデートするか、ソースリポジトリで公開された修正パッチを手動で適用するよう利用者に呼びかけている。

（Security NEXT - 2026/01/19 ）ツイート

「Apache bRPC」に深刻なRCE脆弱性 - アップデートやパッチ適用を

関連リンク

PR

関連記事