2021年にプロジェクト終了の Zeroshell に OS コマンドインジェクションの脆弱性、2023年11月に開発者への連絡を確立

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は2月7日、Zeroshell における OS コマンドインジェクションの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。MYTコンサルティング株式会社の日留川紀彦氏が報告を行っている。影響を受けるシステムは以下の通り。

Zeroshell 3.9.3 およびそれ以前のバージョン
※3.9.3 より後のバージョンで本脆弱性への対応が行われたかは不明

　Zeroshell.org が提供していた Linux ディストリビューション Zeroshell の Web インターフェースには、OS コマンドインジェクションの脆弱性が存在し、細工された HTTP リクエストを処理することにより任意の OS コマンドを実行される可能性がある。​

　開発者によると、当該製品は2021年にサポートと開発プロジェクトが終了しており、使用停止を推奨している。

　なお、JVNでは2020年8月に届出を受理し、開発者との連絡は2023年11月に確立し、本件の公表に至っている。