[記事数:1,202] 日本を元気にするキーワード、地域活性化×中小企業× ITのTips and Quotes(秘訣と引用文)
creative  link  memo 

「PHPMailer」の脆弱性、「WordPress」などでは悪用できず



「PHPMailer」の脆弱性、「WordPress」などでは悪用できず

PHPライブラリ「PHPMailer」に脆弱性が見つかった問題で、同ライブラリを利用する「WordPress」「Joomla!」「Drupal」いずれも、コア部分では脆弱性を悪用される懸念がないことがわかった。

問題の脆弱性は、ウェブサーバの権限で任意のコードを実行されるおそれがある「PHPMailer」の脆弱性「CVE-2016-10033」。修正版として「同5.2.18」が公開されたが、対策をバイパスされる脆弱性「CVE-2016-10045」があらたに判明。「同5.2.20」の準備が進められている。

「PHPMailer」は、「WordPress」「Drupal」「Joomla!」などのコンテンツマネジメントシステム(CMS)をはじめ、「1CRM」「SugarCRM」といった顧客管理システムで利用されており、これらプログラムへの影響について不安の声が上がっていた。

「WordPress」のコアに存在するファイルにも「PHPMailer」に由来するコードが含まれていることが判明しているが、同問題に対して「WordPress」のセキュリティチーム関係者は、コア部分で提供されている関数「wp_mail()」を利用している限り、今回公開された脆弱性の影響を受けないとコメント。

ただし、「PHPMailer」を独自に導入しているケースや、プラグインが関数を誤って利用している場合は影響を受けるおそれがあるとしている。今後リリースする予定の「同4.7.1」では、今回の問題に対する緩和策についても追加する予定。

また「Joomla!」のセキュリティチームは、「同3.6.5」に脆弱性を含む「PHPMailer」が含まれており、過去のバージョンにも同ライブラリが存在するとセキュリティアドバイザリで明らかにした。

一方で「Joomla!」のAPIにて追加で入力値について検証を行っていることから、脆弱性が悪用される心配はないと説明。「PHPMailer」を独自に導入したり、同プログラムのAPIを利用しない拡張機能などを導入していなければ、対策などは不要だという。

開発チームは、次回の定例アップデートで提供する「同3.7」にて、脆弱性が修正された「PHPMailer」を実装するほか、脆弱性の悪用を防止する機能を搭載するとしている。

「Drupal」に関しても、「Core」部分に関しては影響を受けないと説明。「SMTPモジュール」に関しては「PHPMailer」より作成されたものだが、脆弱性の影響を受けないと説明している。

PHPからのメール送信ライブラリ「PHPMailer」に脆弱性、米SANS ISCが注意喚起
岩崎 宰守2016年12月27日 12:06

 PHPからのメール送信に利用されているライブラリ「PHPMailer」におけるリモートでコードが実行される可能性のある脆弱性について、米SANS Technology InstituteのInternet Storm Center(ISC)が注意を喚起し、更新プログラムの適用を推奨している。

 脆弱性「CVE-2016-10033」は、PHPMailerのメール送信機能を利用するウェブサイトのコメント欄や登録フォームなどから、攻撃者が任意のコードを実行できる可能性のあるもの。影響を受けるバージョンはPHPMailerのバージョン「5.2.17」以前。

 PHPMailerは、PHPのプログラムからSMTPサーバー経由でメールを送信できるライブラリ。WordPress、Drupal、1CRM、SugarCRM、Yii、Joomla!など、多くのオープンソースプロジェクトに使われており、およそ900万のユーザーに利用されているという。

 12月24日にリリースされたバージョン「5.2.18」では、脆弱性の修正に加え、SMTP送信の成功についてのメッセージからSMTPトランザクションIDを抽出する機能も追加されている。また、12月26日には、わずかな修正のみが加えられた「5.2.19」も続けてリリースされている。

「PHPMailer」に脆弱性、メジャーCMSにも影響 – 修正不完全で再更新の見込み

メール送信機能を提供するPHPライブラリ「PHPMailer」に深刻な脆弱性が含まれていることがわかった。当初公開された修正版に問題が見つかり、再度アップデートがリリースされる見込み。

開発チームによれば、「PHPMailer」は「WordPress」「Drupal」「Joomla!」などのコンテンツマネジメントシステム(CMS)をはじめ、「1CRM」「SugarCRM」といった顧客管理システムのほか、フレームワークである「Yii」にも採用されているライブラリ。利用者は900万人にのぼるという。

今回明らかとなった脆弱性「CVE-2016-10033」は、ポーランドのセキュリティ研究者であるDawid Golunski氏が発見、報告した。同氏は、9月にMySQLのゼロデイ脆弱性「CVE-2016-6662」を報告したことでも知られる。

同氏によれば、攻撃を行うことにより、ウェブサーバの権限で任意のコードを実行されるおそれがあるとし、実証コード(PoC)もあわせて公開した。メールフォームやパスワードのリセット機能などで「PHPMailer」を利用している場合、影響を受ける可能性がある。

開発チームでは、脆弱性を修正した「同5.2.18」を12月24日に公開したが、修正が不完全であり、修正部分をパイパスできる脆弱性「CVE-2016-10045」が判明。近く同脆弱性を修正した「同5.2.20」がリリースされる見込み。

同ライブラリを利用するアプリケーションにおいても、今後アップデートで対応すると見られ、開発者からの情報へ注意を払う必要がある。





FavoriteLoadingお気に入りAdd to favorites
「WordPress 4.2.3」公開、XSSの脆弱性を修正... 「WordPress 4.2.3」公開、XSSの脆弱性を修正 XSSの脆弱性を悪用された場合、「投稿者」「寄稿者」の権限を持つユーザーがWebサイトを制御できてしまう恐れがある。  WordPressの脆弱性を修正した更新版の「WordPress 4.2.3」が7月23日付でリリースされた。...
WordPress用ECサイト向けプラグイン「WP e-Commerce Shop Styling」... WordPress用ECサイト向けプラグインに脆弱性 WordPress向けに提供されているECサイト用プラグイン「WP e-Commerce Shop Styling」に深刻な脆弱性が含まれていることがわかった。 同ソフトは、CMSであるWordPressをECサイトとして利用する...
WordPress向けネットショッププラグイン「Welcart e-Commerce」に脆弱性... WordPress向けネットショッププラグインに脆弱性 eコマースサイトを構築できるWordPress向けプラグイン「Welcart e-Commerce」に複数の脆弱性が含まれていることがわかった。 脆弱性情報のポータルサイトであるJVNによれば、「同1.4.17」や以前のバージョンに...
米Sucuriでは、攻撃を受けているプラグインとして、「RevSlider」が最も多く、「Gravi... FBIでは、攻撃対象となったプラグインの具体的な名称を挙げていないが、米Sucuriでは、攻撃を受けているプラグインとして、「RevSlider」が最も多く、「GravityForms」が続いて多いと分析している。 画面のカスタマイズ機能を提供する「RevSlider」は、これまでも脆弱性が狙...
WP向けカートプラグイン旧版にSQLインジェクションの脆弱性... WP向けカートプラグイン旧版にSQLインジェクションの脆弱性 コンテンツマネジメントシステム「WordPress」向けに提供されているショッピングサイト構築用プラグイン「Welcart」の旧版に脆弱性が含まれていることがわかった。「同1.5.3」以降で修正されているという。 脆弱性情報の...
WordPress用プラグイン「Welcart e-Commerce」の脆弱性を公表... IPAとJPCERT/CC、WordPress用プラグイン「Welcart e-Commerce」の脆弱性を公表 2016年6月24日 16:50  独立行政法人情報処理推進機構(IPA)セキュリティセンターと一般社団法人JPCERTコーディネーションセンター(JPCERT/CC)は24日、...
Lenovo、今度はThinkPadにユーザーデータ収集ソフトを潜ませていた... 2015年9月25日 20時59分 Lenovo、今度はThinkPadにユーザーデータ収集ソフトを潜ませていた 今年2月、中国メーカーのLenovoが、販売しているノートパソコンへ密かに凶悪なアドウェアを混入していることが発覚しましたが、今回新たに、ユーザーデータを収集するソフトウェアを埋...
WordPress向けGoogle Analytics連携プラグイン「Google Analytic... WordPress向けGoogle Analytics連携プラグインにXSSの脆弱性 WordPressにおいてGoogle Analyticsとの連携機能を実現するプラグイン「Google Analytics by Yoast」にクロスサイトスクリプティングの脆弱性が含まれていること...
ISISと称する攻撃者によるWebサイト改ざん、WordPressプラグイン「Fancybox fo... ISISと称する攻撃者によるWebサイト改ざん、WordPressプラグインの脆弱性を悪用か キヤノンITソリューションズは3月20日、セキュリティ情報を提供する「マルウェア情報局」で「Islamic State (ISIS)」と称する攻撃者により、複数のWebサイトが改ざんされる...
パナマ文書の流出原因は、WordPressのプラグイン? セキュリティが穴だらけだったことが判明... パナマ文書の流出原因は、Wordpressのプラグイン? セキュリティが穴だらけだったことが判明 2016.04.11 13:00 思わぬところに穴が…。 世界中の政治家や経済人、著名スポーツ選手など、いわゆる「世界トップの大金持ち」たちがタックスヘイブンで資産を隠しているのではないか...




コメントを残す