MODx Evolution 1.0.2J/1.0.1J/1.0.0J の脆弱性修正パッチをリリースします

2010年5月13日 00時00分 shortlink：http://modx.jp/?id=162

MODx Evolution 1.0.3で修正された脆弱性を過去のバージョンへさかのぼって適用できるパッチをリリースしました。パッチがサポートするバージョンは1.0.2J/1.0.1J/1.0.0J です。今回の脆弱性は1.0.3(本家版)/1.0.3J/1.0.3J-r1にアップデートすることで解決されるものですが、事情によりコアのアップデートに踏み切れない場合は、今回のパッチの適用を検討してください。手間のかかるインストール作業やコンテンツのバックアップ作業は不要です。

修正される脆弱性

修正される脆弱性は全部で3件です。

[#MODX-1758] Fix issue described in JVN#46669729, XSS possibility with searchHighlight plugin

seatchHighlightプラグインにXSS問題が存在します。このプラグインはAjaxsearch等で検索したキーワードがページ内に含まれている場合にハイライトして表示させる機能を提供します。なお、seatchHighlightプラグインの機能が不要な場合は、プラグインを無効または削除することにより、パッチを適用することなくリスクを完全に回避できます。

[#MODX-1793] TinyMCE link lists are not secured if manager session does not exist

TinyMCE同梱のパーツに外部から直接アクセスすることで、第三者が全リソースのリソース名を自由に取得できる問題が存在します。取得できるのはリソース名のみであり、本文等別の情報の取得は行えません。なお、リソースブラウザ設定でTinyMCEを無効にしても問題を回避することはできません。該当ライブラリを削除するとTinyMCEが使えなくなりますし、会員制サイトを運営している場合は当パッチを適用することをおすすめします。
なお、この件は脆弱性としてはJVNからはアナウンスされていません。必要に応じて判断してください。

[#ADDON-136] Prevent SQL injection on Weblogin(JVN#19774883)

Webloginスニペットのロギング機能にSQLインジェクション問題が存在します。この脆弱性を利用するにはWebユーザでログインする必要があるため、Webユーザによるログインを行なっていないサイト(会員制・メンバー制ではないサイト)ではこの脆弱性の影響を受けません。

MODxの各バージョンに対するパッチ

注意点

過去にリリースされたパッチが全て同梱されています。
パッチは日本語版MODx用です。
本家版MODxの同バージョンにも適用できますが、一部対応していないものがあります。詳しくは付属のreadme.txtをご覧ください。
MODx 1.0.3(本家版)/1.0.3J/1.0.3J-r1 はすでに脆弱性は修正されているため、パッチの適用は必要ありません。
installディレクトリのファイルも同梱していますが、通常は必要ありません。再インストール可能な状態でシステムまるごとバックアップをとっている場合などにご利用ください。

SearchHighlightプラグイン・WebLoginスニペットについて

SearchHighlightプラグインは、AjaxSearchで設置したサイト内検索フォームに入力したキーワードがページ内に含まれる時、それをハイライト表示するプラグインです。

▲上記のように、任意のキーワードでサイト内検索します。この機能はAjaxSearchスニペットで実装しています。

▲すると、検索キーワードで該当文字部分をハイライト表示します。これがSearchHighlightプラグインの機能によるものです。このハイライト表示の機能が、ある特定の文字列の組み合わせに反応し、ブラウザを通じて有害なアクションを発動させます。

▲処理対象のキーワードはURLで与えることができるため、悪意のトラップを比較的容易に仕掛けることができます。AjaxSearchの検索フォームを経由しなくても、プラグインが有効になっていればトラップを発動させることができます。多くのMODxユーザーはSearchHighlightプラグインを有効にしたままサイトを運用していると思われますが、この機能を使わない場合は無効にすることを強くおすすめします。

▲WebLoginスニペットは上記のようなログインフォームを設置するものです。プラグインと違って、サイトに設置していない場合は問題ありません。

▲この脆弱性により、ログイン記録のログを不正に操作できます。ただし操作できるのは、攻撃している本人の情報のみです。この情報は管理画面でのみ閲覧できます。他のtableに格納されている機密情報が書き換えられたり漏洩したりすることはありません。