OSS脆弱性の注意喚起

[MODxをご利用の方] セキュリティ上脆弱性の注意喚起2010年5月7日

 

平素はMRSレンタルサーバをご利用いただきまして、誠にありがとうございます。
現在、MRSレンタルサーバにて検証済みOSS(オープンソースソフトウェア)としてご案内しております「MODx」においてセキュリティ上の脆弱性(弱点)が見つかっております。
http://www.ipa.go.jp/about/press/20100408.html

 

脆弱性は、以下のバージョンのみでMODxシステム本体自体には見つかっておりませんが、「MODx」(※以下対象バージョン)をインストールしておられる方の中で以下の利用をされている場合はご注意くださいませ。

※ 今回注意が必要な利用対象 ※

 

・SearchHighlightプラグインを利用している
    → 利用していない場合は無効にしてください。
・会員制サイトに必要なWebLoginスニペットを利用している(※ 会員制・メンバー制サイト)
    → 管理画面ナビゲーションの「メイン」→「検索」の「内容で検索」で「WebLogin」という文字列を検索すると利用がわかります。
・会員制サイトを運営しTinyMCEプラグインを利用している

 

※ 上記利用をされていない場合は対策の必要はございません。

 

【脆弱性】
・SearchHighlightプラグイン・・・XSS問題
・WebLoginスニペット・・・ロギング機能にSQLインジェクション問題
・TinyMCEプラグイン・・・TinyMCE同梱のパーツに外部から直接アクセスすることで、第三者が全リソースのリソース名を自由に取得できる問題
※ 現時点では「MODx」で管理している情報が漏洩したり削除されたりする危険は確認されていません。また、ログの一部に任意の文字列を埋めることはできますが、実害をもたらすようなコードを埋め込むことはできません。

 

【対象のバージョン】「MODx Evolution」 1.0.0J、1.0.1J、1.0.2J
【対策方法】最新バージョン MODx Evolution 1.0.3-r1 正式版へのアップデート※
パッチの適用
【修正パッチ入手先】MODx Evolution 1.0.2J/1.0.1J/1.0.0J の脆弱性修正パッチ

 

※ 最新バージョンへのアップデートに関して

現時点の対策としては、「最新バージョンへのアップデート」となりますが本体のアップデートとなりますと、DBのリストアが上手くいかない等、万が一の操作ミスによりサイト自体が破損してしまう可能性も考えられます。
脆弱性への対応は、簡易なパッチの適応で対策できる部分ですが、現在該当のパッチは提供されておりません。MODx CMS JAPANコミュニティによりますと、現在調整中とのことです。

 

アップデート方法については、以下をご参考ください。
http://modxcms-jp.com/
http://modxcms-jp.com/news/158.html

 

お客様のサイトポリシーをご考慮していただき、セキュリティ上アップデートが急務である場合は対策していただきますようお願いいたします。