CVE-2023-32700

高 7.8CVE-2023-32700 · 20/05/2023 公開 · 17/06/2026 更新

要点

CVE-2023-32700 は luatex (luatex project), miktex (miktex), tex live (tug) に影響する深刻度「高」 (CVSS 7.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.81%（全脆弱性の 56.9% より高い）。
対処：1.16.2, 23.5, 2023 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
luatex luatex_project	`≥ 1.04, < 1.16.2`	`1.16.2`
miktex miktex	`≥ 2.9.6300, < 23.5`	`23.5`
tex live tug	`≥ 2017, < 2023`	`2023`

概要

LuaTeX before 1.17.0 allows execution of arbitrary shell commands when compiling a TeX file obtained from an untrusted source. This occurs because luatex-core.lua lets the original io.popen be accessed. This also affects TeX Live before 2023 r66984 and MiKTeX before 23.5.