「Movable Type」に深刻なRCE脆弱性 - 必ず更新を

コンテンツマネジメントシステム（CMS）の「Movable Type」にあらたな脆弱性が判明した。深刻な影響があり、シックス・アパートでは必ずアップデートを実施するよう呼びかけている。

「XMLRPC API」にコマンドインジェクションの脆弱性「CVE-2022-38078」が明らかとなったもの。細工したリクエストを送りつけることで、任意のPerlスクリプトや限定的なOSコマンドの実行が可能になるという。

脆弱性情報のポータルサイトであるJVNにおいて共通脆弱性評価システム「CVSSv3.0」のベーススコアは「9.8」と評価されている。ほぼ同時期に複数の指摘が寄せられ、調整のもと公表された。

同社では、Advanced版も含め脆弱性を修正した「同7 r.5301」「同6.8.7」「Premium 1.53」をリリース。利用者に対して必ず更新するよう求めている。

また旧バージョンを利用しており、すぐにアップデートできない場合については、APIへのアクセスを制限したり、関連するCGIファイルの削除など緩和策を講じるよう呼びかけている。

「Movable Type」の「XMLRPC API」に関しては、2021年10月にも深刻な脆弱性「CVE-2021-20837」の修正が実施されている。パッチの提供開始から1週間も経たずに実証コード（PoC）が公開され、アップデートが未実施だった環境に対して攻撃が展開された。また同年12月には対策が不十分だったとして追加修正も行われている。

（Security NEXT - 2022/08/24 ）ツイート