「Movable Type」のスマホ表示対応プラグインに深刻な脆弱性 - ゼロデイ攻撃も
Movable Type向けに提供されているプラグイン「ケータイキット for Movable Type」に深刻な脆弱性が含まれていることがわかった。ゼロデイ攻撃による被害も発生している。
同ソフトは、コンテンツマネジメントシステム(CMS)である「Movable Type」向けに提供されているプラグインソフト。携帯電話やスマートフォンに表示を最適化する機能などを備えている。
同ソフトを提供するアイデアマンズによれば、「同1.641」から「同1.35」までのバージョンに「OSコマンドインジェクション」の脆弱性が存在。リモートより任意のOSコマンドを実行されるおそれがある。一部サイトでは同ソフトに起因したゼロデイ攻撃を受けており、顧客情報が流出した可能性があることが判明している。
同社では、脆弱性を修正する緊急パッチファイルを4月22日に公開。また翌23日に脆弱性を解消した「同1.65」をリリースしており、22日に公開した緊急パッチファイルを適用した場合も、アップデートするよう利用者へ呼びかけている。またすぐにアップデートできない利用者に対しては、一時的な対応策として各バージョンの緊急パッチファイルを用意している。
(Security NEXT - 2016/04/25 )
ツイート
関連リンク
PR
関連記事
Jupyter環境向けプロキシ拡張モジュールに脆弱性 - 外部操作が可能に
「TIBCO Spotfire」に複数の深刻な脆弱性 - アップデートで修正
「Apache SeaTunnel」の「REST API」に脆弱性 - アップデートを
Palo Alto、「PAN-OS」や「GlobalProtect App」などの脆弱性を修正
Adobe、12製品に向けてアップデート - 適用優先度が高い製品も
「Joomla」にアップデート - 多要素認証回避やSQLi脆弱性を解消
Dell「PowerScale OneFS」に深刻な脆弱性 - 乗っ取りリスクも
「GitLab」が複数の脆弱性を解消 - 早急に最新版へ更新を
「VMware Tanzu Greenplum」がアップデート - 脆弱性15件を解消
「PowerDNS Recursor」にDoS脆弱性 - アップデートで修正