PHPパッケージ「PEAR」に2件の脆弱性、15年以上前から存在か

オープンソース・ソフトウェア（OSS）の開発を手がけるスイスのSonarSourceがこのほど、公式ブログ「PHP Supply Chain Attack on PEAR」において、PHPパッケージ管理ツールの「PEAR」に発見されたサプライチェーン攻撃につながる2件の脆弱性について伝えた。これらの脆弱性を悪用されると、ライブラリの開発者がアカウントを乗っ取られたり、PEARサーバーへのアクセス権利を奪取されたりする危険性があるという。 PHP Supply Chain Attack on PEAR SonarSourceによれば、この2件はいずれも15年以上前から存在していたバグだという。1つ目のバグは、パスワードリセット機能において暗号的に安全でないmt_rand()関数が使用されていることに起因するもの。攻撃者に悪用されると、ライブラリ開発者のアカウントが乗っ取られ、意図しないうちに