セキュリティ情報

今回の更新では、ユーザ管理機能における不適切な権限管理、格納型クロスサイトスクリプティング（XSS）、クロスサイト・リクエスト・フォージェリ（CSRF）、オープンリダイレクト、CSV Formula Injection など、複数の問題を修正しています。

悪用された場合、権限の不正な付与、情報の漏えい、利用者の権限による意図しない操作、外部サイトへの誘導、サービス停止などにつながるおそれがあります。

対象バージョン

• 1.x 系: 1.44.0 以前
• 2.x 系: 2.44.0 以前

修正版

• 1.x 系: 1.44.1 以降
• 2.x 系: 2.44.1 以降

対応が必要な脆弱性

お願いしたい対応

• ご利用中の Connect-CMS のバージョンをご確認ください。
• 影響を受けるバージョンをご利用の場合は、速やかに修正版へ更新してください。
• 更新後は、ユーザ管理、ページ管理、フレーム管理、システム管理、ログ管理、データベース、フォーム、パスワードリセットなど、ご利用中の対象機能の動作をご確認ください。
• ユーザ管理権限、システム管理権限、ページ管理権限、各コンテンツへの投稿権限が、必要な利用者だけに付与されていることをご確認ください。

更新が難しい場合の暫定対応

修正版への更新が最優先です。すぐに更新できない場合は、暫定的に次の対応をご検討ください。

• 利用していないプラグインや機能は一時的に停止してください。
• ユーザ管理、ページ管理、フレーム管理、システム管理、ログ管理、データベースへの投稿などの権限を必要最小限に絞ってください。
• フォームやデータベースで外部からの投稿を受け付けている場合は、投稿範囲を制限し、不審な内容がないかをご確認ください。
• ログ管理機能から出力した CSV は、表計算ソフトでの数式の自動解釈を避けられる方法で確認してください。
• パスワードリセット機能を利用していない場合は一時的に停止し、Web サーバやリバースプロキシでは正規のホスト名以外へのアクセスを拒否してください。

上記は恒久対策ではなく、すべてのリスクを解消するものではありません。可能な限り早く修正版へ更新してください。

謝辞

本件の脆弱性報告にあたり、offset 様、valmet083 様に感謝いたします。