MODx Evolution 1.0.3J-r1～1.0.0J の脆弱性修正パッチをリリースします

2010年6月13日 04時21分 shortlink：http://modx.jp/?id=181

MODx Evolution 1.0.4/1.0.3-r2で修正された脆弱性を過去のバージョンへさかのぼって適用できるパッチをリリースしました。パッチがサポートするバージョンは1.0.3J-r1/1.0.3J/1.0.2J/1.0.1J/1.0.0J です。今回の脆弱性は1.0.4(本家版)/1.0.4J/1.0.3J-r2にアップデートすることで解決されるものですが、事情によりコアのアップデートに踏み切れない場合は、今回のパッチの適用を検討してください。

修正される脆弱性

修正される脆弱性は2件です。

[#MODX-1964] WebLogin does not prevent brute force attack

※Webloginスニペットを利用していない場合は関係ありません。
Webloginを利用した際、既定では3回の認証失敗後、しばらくログインできないようにロックがかかる構造になっていますが、ロックの処理部分に問題があることが今回判明し、正常にロックされません。そのため、パスワード総当たりによる攻撃(ブルートフォースアタック)に弱くなります。パッチを適用することにより、複数回認証失敗によるロック機能が動作し、ブルートフォースアタックへの耐性が増します。

想定される被害 - 悪意の第三者がブルートフォースアタックに成功した場合、Webユーザとしてログインし、メンバー限定コンテンツを自由に利用できてしまいます。このため、公開されていないコンテンツを盗み見ることができます。
※Webユーザは管理画面ユーザとは管理体系が異なるため、管理画面にログインしたり、システム設定へのアクセス・改竄などをすることはできません。

補足情報 - この仕組みは本来、パスワード総当たり攻撃を補助的に防御するものです。自宅の電話番号など他者に推定されやすいパスワードを用いないよう、運用面において基本的な対策をとることが重要です。

[#MODX-2009] Clean up handling of 'a' variable in Manager (and related type casting changes) (こちらも参照)

※MODxシステム本体の脆弱性です。
管理画面のアクセスユーザのロギング機能にSQLインジェクション問題が存在します。この脆弱性の影響を抑える方法として、今回のパッチを適用すること以外には、管理画面にログイン中に別のサイトの閲覧を控える(こまめにログアウトする)、またはリファラチェックをONにする(グローバル設定内・MODx1.0.1より標準で有効)方法があります。なお、MODx1.0.4では全体的に受け渡しするデータのクリーニングをするように修正されていますが、このパッチでは問題のある部分のみ修正しています。

想定される被害 - サイト閲覧中に、悪意の第三者が仕掛けたトラップリンクをクリックすると、管理運用しているMODxの管理画面領域に遷移します。この時、リファラチェック設定がOFFになっておりかつ管理画面からログアウトしていない場合はSQLエラーが表示されます。また、本来記録されるべき自身の正しいIPアドレスが記録されず、不正な値が記録される可能性があります。

補足情報 - 深刻なデータの漏洩・改竄・システム破壊や設定変更は起こりません。本来記録されるべき、自身のユーザアクティビティ情報の正しいIPアドレスが記録されず不正な値が記録される可能性がありますが、これによってMODxシステム本体が誤作動を起こすことはありません。ログイン権限を持たない第三者がトラップリンクをクリックした場合はログイン画面が表示されます。

MODxの各バージョンに対するパッチ

 注意点

PR

  • KAGOYA
  • ASP at AKIHABARA Japan
  • CMS AWARDS 2007 Winner
ページトップへ