「Joomla」のAPIに深刻な脆弱性 - 早急に更新し、パスワードの変更を

コンテンツマネジメントシステム（CMS）である「Joomla」の開発チームは、協定世界時2月16日に最新版となる「Joomla 4.2.8」をリリースした。深刻な脆弱性へ対処しており、アップデートするとともにパスワードを変更するよう求めている。

今回のアップデートは、ウェブサービスのAPIにおいてアクセス制御に不備があり、不正アクセスを受けるおそれがある脆弱性「CVE-2023-23752」に対処したもの。2月13日の報告からわずか3日での緊急リリースで、公開にあたって事前予告も行っていた。

「同4.0.0」以降のバージョンが影響を受ける。比較的容易に悪用が可能で重要度を「高（High）」とする一方、あたえる影響については、攻撃者によってサイトの制御を奪われるおそれがあり「クリティカル（Critical）」とレーティングしている。

開発チームでは「Joomla 4.2.8」にて脆弱性を修正した。セキュリティの修正のみとしており、機能変更は含まれない。

脆弱性は協調的に報告を受けたもので、一般的なウェブサイトにおいて悪用された形跡は確認されていないが、開発チームではアップデートにくわえて、更新後にサイト構成で利用する「データベース」「SMTP」「Redis」「HTTPプロクシ」などすべてのパスワードを変更するよう強く推奨している。

（Security NEXT - 2023/02/17 ）ツイート