独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は2月7日、Zeroshell における OS コマンドインジェクションの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。MYTコンサルティング株式会社の日留川紀彦氏が報告を行っている。影響を受けるシステムは以下の通り。
Android アプリ「サイボウズ KUNAI for Android」にサービス運用妨害(DoS)の脆弱性
Zeroshell 3.9.3 およびそれ以前のバージョン
※3.9.3 より後のバージョンで本脆弱性への対応が行われたかは不明
Zeroshell.org が提供していた Linux ディストリビューション Zeroshell の Web インターフェースには、OS コマンドインジェクションの脆弱性が存在し、細工された HTTP リクエストを処理することにより任意の OS コマンドを実行される可能性がある。
開発者によると、当該製品は2021年にサポートと開発プロジェクトが終了しており、使用停止を推奨している。
なお、JVNでは2020年8月に届出を受理し、開発者との連絡は2023年11月に確立し、本件の公表に至っている。
