「Movable Type」に深刻なRCE脆弱性 - 必ず更新を
コンテンツマネジメントシステム(CMS)の「Movable Type」にあらたな脆弱性が判明した。深刻な影響があり、シックス・アパートでは必ずアップデートを実施するよう呼びかけている。
「XMLRPC API」にコマンドインジェクションの脆弱性「CVE-2022-38078」が明らかとなったもの。細工したリクエストを送りつけることで、任意のPerlスクリプトや限定的なOSコマンドの実行が可能になるという。
脆弱性情報のポータルサイトであるJVNにおいて共通脆弱性評価システム「CVSSv3.0」のベーススコアは「9.8」と評価されている。ほぼ同時期に複数の指摘が寄せられ、調整のもと公表された。
同社では、Advanced版も含め脆弱性を修正した「同7 r.5301」「同6.8.7」「Premium 1.53」をリリース。利用者に対して必ず更新するよう求めている。
また旧バージョンを利用しており、すぐにアップデートできない場合については、APIへのアクセスを制限したり、関連するCGIファイルの削除など緩和策を講じるよう呼びかけている。
「Movable Type」の「XMLRPC API」に関しては、2021年10月にも深刻な脆弱性「CVE-2021-20837」の修正が実施されている。パッチの提供開始から1週間も経たずに実証コード(PoC)が公開され、アップデートが未実施だった環境に対して攻撃が展開された。また同年12月には対策が不十分だったとして追加修正も行われている。
(Security NEXT - 2022/08/24 )
ツイート
関連リンク
PR
関連記事
情報公開請求への対応で個人情報が流出 - 橿原市
応募フォームで個人情報が閲覧可能に - 東京都交通局
サイトに不正アクセス、リンクの書き込み - 三重県立総合医療センター
教委メールサーバ、不正中継でスパム踏み台に - 豊見城市
「MS Edge」にアップデート - 「クリティカル」とされる脆弱性を解消
NTT西の固定電話で一時通信障害 - ネット接続は影響なし
Samsung製スマホなどの既知脆弱性が攻撃の標的に - 米政府が注意喚起
Google、長期間放置アカウントを削除へ - 悪用防止対策で
米政府、ランサムウェア対応ガイドの改訂版を公開
未知の脆弱性で生じた通信障害、NTT東西に行政指導