Apache InLong の脆弱性 CVE-2024-36268 が FIX：リモート・コード・インジェクションの可能性

CVE-2024-36268: Apache InLong Vulnerability Leaves Systems Open to Remote Attacks

2024/08/04 SecurityOnline — Apache InLong プロジェクトは、大規模なデータ・ストリーム処理において広範に利用されるデータ統合フレームワークであるが、その TubeMQ コンポーネントに深刻な脆弱性が発見され、それを伝えるセキュリティ勧告が発表された。このコード・インジェクションの脆弱性 CVE-2024-36268 の悪用に成功した、リモートの攻撃者は、標的とするシステム上で任意のコードを実行する可能性を手にする。

TubeMQ メッセージキュー・システムとの通信を容易にする、InLong フレームワークの重要な部分である TubeMQ クライアントに、この脆弱性は存在する。この脆弱性の悪用に成功した攻撃者は、InLong インフラストラクチャ全体の制御を奪うことで、処理中の機密データの完全性と機密性を損なう可能性を得る。

InLong の開発チームは、脆弱性 CVE-2024-36268 を Important に分類している。その一方で GitHub は、CVSSv3.1 値を 9.8 とし、Critical に分類している。この食い違いが浮き彫りにするのは、脆弱性 CVE-2024-36268 の潜在的な深刻さと、早急な対策の必要性である。

すでに InLong チームは、バージョン 1.13.0を リリースし、この重大な脆弱性に対処している。ユーザーに対して強く推奨されるのは、可能な限り早急に、この最新バージョンへとアップデートすることだ。また、ただちにアップグレードできない場合には、同プロジェクトの GitHub から提供されるパッチを、ソースコードに対してダイレクトに適用することも可能だ。

金融／医療／電子商取引といった各業界で、Apache InLong が広く使用されていることを考えると、この脆弱性の潜在的な影響は深刻である。InLong に依存している組織に求められるのは、このパッチを優先的に適用して、リモート・コード実行攻撃のリスクを軽減し、重要なデータを保護することである。

Apache InLong に深刻な脆弱性が発生とのことです。ご利用のチームは、ご注意ください。この Apache InLong ですが、2024/01/03 にも「Apache InLong Manager の脆弱性 CVE-2023-51784／51785 が FIX：ただちにアップデートを！」という記事がポストされています。よろしければ、Apache で検索と併せて、ご参照ください。