今回の更新では、認証済みユーザーによる任意コード実行、認可チェック不備による情報取得や任意ユーザー情報更新、Cross-Site Scripting (XSS)、Server-Side Request Forgery (SSRF) など、複数の問題を修正しています。
いずれも悪用された場合、情報漏えい、不正操作、アカウントの乗っ取り、サーバ上での意図しないコード実行などにつながるおそれがあります。
対象バージョン
- 1.x 系:
1.41.0 以前
- 2.x 系:
2.41.0 以前
注記:
- キャビネットプラグイン一覧画面における DOM-based Cross-Site Scripting (XSS) は、1.x 系では
1.35.0 から 1.41.0、2.x 系では 2.35.0 から 2.41.0 が対象です。
修正版
- 1.x 系:
1.41.1 以降
- 2.x 系:
2.41.1 以降
対応が必要な脆弱性
| 対象機能 |
脆弱性の概要 |
想定される影響 |
対象バージョン |
| コードスタディプラグイン |
認証済みユーザーによる任意コード実行の脆弱性 |
サーバ上でのコード実行、情報漏えい |
1.x 系 1.41.0 以前、2.x 系 2.41.0 以前 |
| マイページプロフィール更新機能 |
認可チェック不備による任意ユーザー情報更新の脆弱性 |
他ユーザーのプロフィール情報やパスワード変更、アカウント乗っ取り |
1.x 系 1.41.0 以前、2.x 系 2.41.0 以前 |
| ページコンテンツ取得機能 |
認可チェック不備による情報取得の脆弱性 |
非公開ページのコンテンツや添付ファイルの取得 |
1.x 系 1.41.0 以前、2.x 系 2.41.0 以前 |
| ページ管理プラグインの外部ページ移行機能 |
Server-Side Request Forgery (SSRF) |
内部向け宛先へのアクセスを通じた情報漏えい |
1.x 系 1.41.0 以前、2.x 系 2.41.0 以前 |
| フォームプラグインのファイル型 |
Stored Cross-Site Scripting (XSS) |
管理者ブラウザ上でのスクリプト実行、不正操作、情報窃取 |
1.x 系 1.41.0 以前、2.x 系 2.41.0 以前 |
| キャビネットプラグインの一覧画面 |
DOM-based Cross-Site Scripting (XSS) |
利用者ブラウザ上でのスクリプト実行、不正操作、情報窃取 |
1.x 系 1.35.0 から 1.41.0、2.x 系 2.35.0 から 2.41.0 |
お願いしたい対応
- ご利用中の Connect-CMS のバージョンをご確認ください。
- 影響を受けるバージョンをご利用の場合は、速やかに修正版へ更新してください。
- 更新前後で、コードスタディ、フォーム、キャビネット、ページ管理、マイページ機能を利用している環境では、主要な運用画面の動作確認を実施してください。
更新が難しい場合の暫定対応
修正版への更新が最優先です。すぐに更新できない場合は、暫定的に次の対応をご検討ください。
- 利用していないプラグインや機能は一時的に停止する
- コードスタディ、外部ページ移行、フォームのファイル型など、影響対象機能へのアクセス権限を必要最小限に絞る
- 管理者権限、ページ管理権限、認証済みユーザー権限の付与状況を見直す
上記は恒久対策ではなく、すべてのリスクを解消するものではありません。可能な限り早く修正版へ更新してください。
謝辞
本件の脆弱性報告にあたり、小田切 祥 様（GMOサイバーセキュリティ byイエラエ株式会社）に感謝いたします。