JVN#56968681
日本語プログラミング言語「なでしこ3」における複数の脆弱性

日本語プログラミング言語「なでしこ3」には、複数の脆弱性が存在します。

CVE-2022-41642

• なでしこ3 PC版 v3.3.68 およびそれ以前のバージョン

• なでしこ3 PC版 v3.3.74 およびそれ以前のバージョンにおける簡易エディタ nako3edit

クジラ飛行机が提供するなでしこ3 PC版には、次の複数の脆弱性が存在します。

• 圧縮・解凍命令実行時の OS コマンドインジェクション (CWE-78) - CVE-2022-41642

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H	基本値: 9.8
  CVSS v2	AV:N/AC:L/Au:N/C:P/I:P/A:P	基本値: 7.5

• nako3edit での想定しないパラメータによるサーバの停止 (CWE-703) - CVE-2022-41777

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L	基本値: 5.3
  CVSS v2	AV:N/AC:L/Au:N/C:N/I:N/A:P	基本値: 5.0

• nako3edit でのファイル保存・実行時の OS コマンドインジェクション (CWE-78) - CVE-2022-42496

  CVSS v3	CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H	基本値: 8.1
  CVSS v2	AV:N/AC:M/Au:N/C:P/I:P/A:P	基本値: 6.8

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• PC 向けランタイム cnako3 の圧縮・解凍命令を実行時に OS コマンドインジェクションを実行される - CVE-2022-41642
• 簡易エディタ nako3edit で decodeURIComponent に不正な値を入力され、サーバ機能を停止される - CVE-2022-41777
• API キーを窃取された場合、簡易エディタ nako3edit でファイルの保存と実行時に OS コマンドインジェクションを実行される - CVE-2022-42496

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。