pfSense に複数の脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は3月15日、pfSense における複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。株式会社イエラエセキュリティの渡部裕氏が報告を行っている。影響を受けるシステムは以下の通り。

・CVE-2021-20729
pfSense CE Software バージョン 2.5.2 およびそれ以前
pfSense Plus Software バージョン 21.05 およびそれ以前

・CVE-2022-26019、CVE-2022-24299
pfSense CE Software バージョン 2.6.0 より前
pfSense Plus Software バージョン 22.01 より前

　pfSenseには、下記の複数の脆弱性が存在し、想定される影響は各脆弱性により異なるが、次のような影響を受ける可能性がある。

・クロスサイトスクリプティング（CVE-2021-20729）
→悪意のある URL を通じて captive ポータルログインページへアクセスさせられたユーザのWebブラウザ上で、任意のスクリプトを実行される

・アクセス制限不備（CVE-2022-26019）
→ NTP GPS 設定の変更権限を持つユーザによって、ファイルシステム上の既存ファイルを書き換えられ、結果として任意のコマンドを実行される

・不適切な入力確認（CVE-2022-24299）
→ OpenVPN クライアントまたはサーバの設定の変更権限を持つユーザによって、任意のコマンドを実行される

　JVNでは、開発者が提供する情報をもとに最新版にアップデートするよう呼びかけている。