Cleo のファイル転送製品の無制限アップロード（CVE-2024-50623）― 最初の修正では塞ぎきれず、4日後に別の番号で再び掲載された

14日の間隔

1. 12024年12月13日ファイルの無制限アップロードとしてKEVへ追加（本件）
2. 22024年12月17日同じ製品群について別の番号が追加される
3. 3二つ目の区分不適切な既定の権限。自動実行のディレクトリの既定設定が関わる
4. 4読み取れること最初の対処では塞ぎきれず、別の面から同じ結果に到達しえた

同じ製品群が4日の間隔で二度、カタログに載っています。二つの項目は欠陥の型が異なります。一つ目はアップロードできるファイルの種類や場所に制限がないこと、二つ目は自動実行のディレクトリの既定の設定です。置けることと置いたものが動くことが、別々の項目として現れた形です。

2置けることと動くこと

ファイルを置けるだけであれば、それが実行されなければ直ちに問題にはなりません。逆に、自動的に実行される場所があっても、そこに置けなければ使われません。二つが揃うと、外部から置いたものがそのまま動くことになります。当サイトでは、置けることと実行されることのあいだにある距離を扱った記事も別にあり、同じ論点が繰り返し現れています。

3ファイル転送という位置

受託ファイル転送の製品は、組織のあいだで書類やデータをやり取りするために置かれます。役割上、外部と接し、扱う中身は業務の実データです。2026年9月4日時点で当サイトが保持する記録では、この区分でランサムウェア利用が既知の未解説項目が12件あります。件数は多くありませんが、通る情報の性質から影響が大きくなりやすい位置です。

4同じ製品が短期間に複数回載るとき

短い間隔で同じ製品が再び載る場合、最初の更新を当てただけでは終わっていない可能性があります。当サイトでは、後から出た更新のほうが堅牢な保護を含むとされた例や、過去の修正が迂回された例も扱っています。適用したかどうかではなく、どの版まで適用したかを確認する必要があります。