目次
最近話題になったセキュリティ関連のニュースから、気になるものをピックアップしてお届けします。
2024/10/15
CVE-2024-9680: Use-after-free in Animation timeline
https://www.mozilla.org/en-US/security/advisories/mfsa2024-52/
An attacker was able to achieve code execution in the content process by exploiting a use-after-free in Animation timelines. We have had reports of this vulnerability being exploited in the wild.
Mozilla Foundationの「Thunderbird」において、「Use After Free」の脆弱性「CVE-2024-9680」が明らかになったとして、アップデートを呼びかけています。
当該脆弱性は、アニメーションタイムラインの解放済みメモリを悪用し、コード実行が可能というものです。「Thunderbird」ではスクリプトが無効になっているため影響は受けないとのことですが、ブラウザ「Firefox」が影響を受けるとして既に当該脆弱性が修正されたバージョンが公開されています。
既にこの脆弱性が実際に悪用されたという報告を受けているとのことですので、使用されている方は早急にアップデートすることを推奨します。
・修正済みの「Thunderbird」のバージョン
115.16.0
128.3.1
131.0.1
・参考情報
NIST – CVE-2024-9680 Detail
https://nvd.nist.gov/vuln/detail/CVE-2024-9680
2024/10/16
Security Vulnerability fixed in Firefox 131.0.3
https://www.mozilla.org/en-US/security/advisories/mfsa2024-53/
When manipulating the selection node cache, an attacker may have been able to cause unexpected behavior, potentially leading to an exploitable crash.
Mozilla Foundationのブラウザ「Firefox」において、選択ノードキャッシュに関する脆弱性「CVE-2024-9936」が修正されたバージョンが公開されています。
本脆弱性が悪用された場合、サービス拒否 (DoS) や予期しない動作を引き起こし、クラッシュを引き起こす可能性があります。修正されたバージョン「131.0.3」が公開されていますので、早急にアップデートすることを推奨します。
・参考情報
NIST – CVE-2024-9936 Detail
https://nvd.nist.gov/vuln/detail/CVE-2024-9936
2024/10/16
NIST – CVE-2024-9047 Detail
https://nvd.nist.gov/vuln/detail/CVE-2024-9047
The WordPress File Upload plugin for WordPress is vulnerable to Path Traversal in all versions up to, and including, 4.24.11 via wfu_file_downloader.php. This makes it possible for unauthenticated attackers to read or delete files outside of the originally intended directory. Successful exploitation requires the targeted WordPress installation to be using PHP 7.4 or earlier.
WordPressの「WordPress File Upload plugin」において、「wfu_file_downloader.php」を介したパストラバーサルの脆弱性「CVE-2024-9047」が報告されています。認証せずともディレクトリ外のファイル参照や削除が可能とのことで、PHP 7.4以下のバージョンを対応しているWordPressを使用していることが条件となります。
4.24.11までのすべてのバージョンで脆弱であり、当該脆弱性を修正した「4.24.12」が公開されていますので、当プラグインを使用している場合は早急にアップデートすることを推奨します。
・参考情報
WordPress File Upload
https://ja.wordpress.org/plugins/wp-file-upload/#developers
今週は、利用頻度の高い製品の脆弱性情報をまとめました。その他にも「Chrome」や「Java SE」などにおいてもアップデート情報が公開されていますので、公式情報をご確認の上、アップデートすることをお勧めします。
担当KK
