Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

複数のEC-CUBE向け決済モジュールに脆弱性 - 特定URLアクセスでコード実行のおそれ

eコマースシステムのEC-CUBE向けに提供されている複数の決済モジュールにおいて、管理画面へログイン中のユーザーに特定URLへアクセスさせることで、任意のPHPコードを実行させることが可能となる脆弱性が明らかとなった。

脆弱性情報のポータルサイトであるJVNによれば、EC-CUBEペイメント事務局が提供する「EC-CUBEペイメント決済モジュール」やGMOペイメントゲートウェイが提供する「GMO-PG決済モジュール(PGマルチペイメントサービス)」の「2.12系」および「2.11系」に複数の脆弱性が含まれていることが明らかとなったもの。

管理画面において、「クロスサイトスクリプティング(XSS)」の脆弱性「CVE-2018-0657」と、入力値の検証に不備により、任意のPHPコードが実行される脆弱性「CVE-2018-0658」が存在。

これら脆弱性は、組み合わせて悪用することが可能で、管理画面へログインしているユーザーに特定のURLへアクセスさせることで、PHPコードを実行させることが可能になるという。

同脆弱性は、三井物産セキュアディレクションの佐藤元氏が情報処理推進機構(IPA)へ報告し、JPCERTコーディネーションセンターが調整を実施。それぞれ脆弱性を修正したアップデートが提供されている。

(Security NEXT - 2018/08/09 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Chrome 78.0.3904.108」が公開 - セキュリティ関連で修正5件
マカフィーのコンシューマー製品に脆弱性 - アップデートがリリース
システム制御製品「CX-Supervisor」の同梱「TeamViewer」に脆弱性
Adobe、複数製品向けにアップデートをリリース - 深刻な脆弱性を修正
三菱製シーケンサのCPUユニットにDoS脆弱性
Androidアプリの脆弱性診断、ソニーDNAがラックに譲渡
「Cisco PI」「Cisco EPNM」の「REST API」に深刻な脆弱性
CMSの「Movable Type」にオープンリダイレクトの脆弱性
「VMware Workstation」などに複数脆弱性を解消するアップデート
MS月例更新がリリース、脆弱性74件を修正 - 一部でゼロデイ攻撃も