Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Movable Type」に深刻なRCE脆弱性 - 必ず更新を

コンテンツマネジメントシステム(CMS)の「Movable Type」にあらたな脆弱性が判明した。深刻な影響があり、シックス・アパートでは必ずアップデートを実施するよう呼びかけている。

「XMLRPC API」にコマンドインジェクションの脆弱性「CVE-2022-38078」が明らかとなったもの。細工したリクエストを送りつけることで、任意のPerlスクリプトや限定的なOSコマンドの実行が可能になるという。

脆弱性情報のポータルサイトであるJVNにおいて共通脆弱性評価システム「CVSSv3.0」のベーススコアは「9.8」と評価されている。ほぼ同時期に複数の指摘が寄せられ、調整のもと公表された。

同社では、Advanced版も含め脆弱性を修正した「同7 r.5301」「同6.8.7」「Premium 1.53」をリリース。利用者に対して必ず更新するよう求めている。

また旧バージョンを利用しており、すぐにアップデートできない場合については、APIへのアクセスを制限したり、関連するCGIファイルの削除など緩和策を講じるよう呼びかけている。

「Movable Type」の「XMLRPC API」に関しては、2021年10月にも深刻な脆弱性「CVE-2021-20837」の修正が実施されている。パッチの提供開始から1週間も経たずに実証コード(PoC)が公開され、アップデートが未実施だった環境に対して攻撃が展開された。また同年12月には対策が不十分だったとして追加修正も行われている

(Security NEXT - 2022/08/24 ) このエントリーをはてなブックマークに追加

PR

関連記事

「JPAAWG 5th General Meeting」、11月にハイブリッド開催
アクセ通販サイトでクレカ情報流出の可能性 - 再開時は旧顧客リストを使用せず
Zohoのアクセス管理製品にあらたな脆弱性 - 6月判明の脆弱性はすでに攻撃対象
メール送信時に講演会申込者のメアドが流出 - 佐伯市
労働力調査の対象世帯リストを一時紛失 - 奈良県
「サイバーセキュリティ」認知度5割届かず - 3割弱が対策未実施
AWSのセキュリティ設定を網羅的に診断するサービス - NTT-AT
顧客情報記載した書類の紛失や誤廃棄が判明 - めぶきカード
統計調査員が調査名簿を一時紛失 - 京田辺市
PHPテンプレートエンジン「Twig」に脆弱性 - 「Drupal」にも影響