JPCERTコーディネーションセンター（Japan Computer Emergency Response Team Coordination Center：JPCERT/CC）は2月3日(米国時間)、「Japan Vulnerability Notes（JVN）」に掲載した記事「JVNVU#90495537: OpenSMTPD に権限昇格と任意コード実行の脆弱性」において、OpenSMTPDの脆弱性について伝えた。OpenSMTPDはOpenBSDプロジェクトが提供するSMTPサーバ。

脆弱性の影響を受けるプロダクトおよびバージョンは次のとおり。

  • OpenSMTPD 6.4.0〜6.6.1 までのバージョン

脆弱性に関する情報は次のページにまとまっている。

  • VU#390745 - OpenSMTPD vulnerable to local privilege escalation and remote code execution

    VU#390745 - OpenSMTPD vulnerable to local privilege escalation and remote code execution

この脆弱性を悪用されると、不正なSMTPメッセージによってローカルの第三者が特権昇格を行ったり、ローカルまたはリモートの第三者がroot権限で任意のコードを実行したりする可能性があるとされており、注意が必要。対象となる脆弱性は深刻度が『緊急』と評価されている。

既にこの脆弱性を修正したバージョン「OpenSMTPD version 6.6.2p1」が公開されており、JPCERT/CCは開発者が提供する情報をチェックするとともに、最新版へアップデートすることを推奨している。

この脆弱性に関しては、Cybersecurity and Infrastructure Security Agency (CISA)も「OpenSMTPD Vulnerability｜CISA」において注意喚起を行っている。