セキュリティアドバイザリ詳細 ID: ZAA-2021-14 日付: 2021年10月5日 タイトル: 不適切な逆シリアライゼーションによるリモートコード実行 重大度: medium（中程度） 製品: Zammad 1.0.x 〜 4.1.0 修正バージョン: Zammad 4.1.1, 5.0.0 参照: - CVE: CVE-2021-42090 脆弱性の説明 不適切な逆シリアライゼーションによるリモートコード実行 Zammadには、Webサイトに埋め込み可能なフォーム機能があります。Webサイトの訪問者は、このフォームを通じてチケットを作成することができます。しかし、フォームデータの逆シリアライゼーション処理に脆弱性があるため、攻撃者がアプリケーションサーバーのコンテキスト内で悪意のあるコードを実行できる可能性があります。 特別なお礼 N: Emil Virkki D: セキュリティリサーチアー W: https://github.com/emilvirkki 推奨される対策 この脆弱性は、Zammadの最新バージョンで修正されています。これらのバージョンへのアップグレードを推奨します。修正されたリリースは以下のサイトで確認できます。 https://zammad.org/ https://ftp.zammad.com/ または、OSのパッケージマネージャーを通じてZammadを更新することもできます。 追加情報 オンライン版: https://zammad.com/en/advisories/zaa-2021-14 連絡先: セキュリティに関する問題については、security@zammad.com までご連絡ください。