Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Zend Framework 2」に「PHPMailer」と同様の脆弱性 - 最新版で修正

「Zend Framework」のメール用コンポーネントに、リモートよりコードの実行が可能となる脆弱性が含まれていることがわかった。最新版で修正されている。

同フレームワークに含まれる「zend-mail」にコードの実行が可能となる脆弱性「CVE-2016-10034」が含まれていることが判明したもの。同脆弱性は、「PHPMailer」や「SwiftMailer」で明らかとなった脆弱性と同様の性質のもので、両脆弱性と同じくポーランドのセキュリティ専門家であるDawid Golunski氏が発見、報告した。

ウェブフォームなどから入力された情報をもとに「zend-mail」の「Sendmail adapter」を利用してメールを送信する際、コードを実行されるおそれがある。

Dawid Golunski氏は今回の脆弱性について、アドバイザリで限定的な実証コード(PoC)を示しているが、エクスプロイトコードなど詳細については今後公開するとしている。

また同脆弱性は、Dawid Golunski氏によるアドバイザリの公表に先駆けて12月20日にリリースされた「Zend Framework 2.4.11」および「zend-mail 2.4.11」「zend-mail 2.7.2」にて修正されているという。

(Security NEXT - 2017/01/05 ) このエントリーをはてなブックマークに追加

PR

関連記事

Progress製ロードバランサーに脆弱性 - アップデートが公開
ストレージ仮想化ソフト「IBM Storage Virtualize」の一部プラグインに脆弱性
「MS Edge」にアップデート - 独自含む脆弱性3件を解消
「Next.js」に認可バイパスのおそれ - アップデートが公開
「IBM AIX」に複数のRCE脆弱性が判明 - パッチや暫定修正プログラムを公開
エンプラサーバなどに採用されるAMI製「BMC」にRCE脆弱性
「PHP」に複数脆弱性 - セキュリティアップデートがリリース
米政府、バックアップソフトやIPカメラの脆弱性悪用に注意喚起
Veeam製バックアップソフトに深刻なRCE脆弱性が判明
「Chrome」に「クリティカル」脆弱性 - アップデートで修正