「Shutter」に複数の脆弱性、アンインストールを呼びかけ（JVN）

IPAおよびJPCERT/CCは、tenfourzeroが提供する写真共有ウェブパッケージ「Shutter」に、複数の脆弱性が存在すると「JVN」で発表した。なお、Shutterの開発および保守は終了している。

脆弱性と脅威セキュリティホール・脆弱性

2014.8.15 Fri 14:08

独立行政法人情報処理推進機構（IPA）および一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）は8月15日、tenfourzeroが提供する写真共有ウェブパッケージ「Shutter」に、複数の脆弱性が存在すると「Japan Vulnerability Notes（JVN）」で発表した。なお、Shutterの開発および保守は終了している。

「Shutter v0.1.4」には、クロスサイトスクリプティング（XSS）およびSQLインジェクションの脆弱性（CVE-2014-3905、CVE-2014-3904）が存在する。この脆弱性が悪用されると、管理者が当該製品にログインした状態で悪意あるページを読み込んだ場合、Webブラウザ上で任意のスクリプトやSQLコマンドを実行される可能性がある。JVNでは、ソフトウェアをアンインストールすることが推奨されているとしている。

《吉澤亨史（ Kouji Yoshizawa ）》