「Movable Type」の XMLRPC API におけるコマンド・インジェクションの脆弱性について（JVN#57728859）

 ※最新情報は、JVN iPedia(JVN#57728859)をご覧ください。

概要

シックス・アパート株式会社が提供する「Movable Type」は、コンテンツ管理システムです。「Movable Type」の XMLRPC API には、コマンド・インジェクションの脆弱性が存在します。
遠隔の第三者によって、任意の Perl スクリプトを実行される可能性があります。その結果、任意の OS コマンドを実行される可能性があります。

攻撃が行われた場合の影響が大きい問題であるため、できるだけ早急に、製品開発者が提供する情報をもとに、アップデートを実行してください。

本脆弱性の深刻度

脆弱性の深刻度は共通脆弱性評価システムCVSS v3とCVSS v2に基づいて定めている。

• CVSS v3に基づいた深刻度と基本値について
  • 脆弱性のCVSS v3深刻度
  • 脆弱性のCVSS v3基本値
• CVSS v2に基づいた深刻度と基本値について
  • 脆弱性のCVSS v2深刻度
  • 脆弱性のCVSS v2基本値

対象

次の製品が対象です。

• Movable Type 7 r.5202 およびそれ以前 (Movable Type 7系)
• Movable Type 6.8.6 およびそれ以前 (Movable Type 6系)
• Movable Type Advanced 7 r.5202 およびそれ以前 (Movable Type Advanced 7系)
• Movable Type Advanced 6.8.6 およびそれ以前 (Movable Type Advanced 6系)
• Movable Type Premium 1.52 およびそれ以前
• Movable Type Premium Advanced 1.52 およびそれ以前

開発者によると、すでにサポート終了をしたバージョンを含む、Movable Type 4.0 以降のすべてのバージョンが本脆弱性の影響を受けるとのことです。

対策

アップデートする

開発者が提供する情報をもとに、最新版へアップデートしてください。
開発者は、本脆弱性を修正した次のバージョンをリリースしています。

• Movable Type 7 r.5301 (Movable Type 7系)
• Movable Type 6.8.7 (Movable Type 6系)
• Movable Type Advanced 7 r.5301 (Movable Type Advanced 7系)
• Movable Type Advanced 6.8.7 (Movable Type Advanced 6系)
• Movable Type Premium 1.53
• Movable Type Premium Advanced 1.53

詳しくは、開発者が提供する下記サイトの情報をご確認ください。

• [重要] Movable Type 7 r.5301 / Movable Type 6.8.7 / Movable Type Premium 1.53 の提供を開始（セキュリティアップデート）

ワークアラウンドを実施する

開発者によると、アップデートを適用できない場合には、Movable Type の XMLRPC API 機能を無効化することで、本脆弱性の影響を軽減することが可能とのことです。

参考情報

• Movable TypeのXMLRPC APIの脆弱性に関する注意喚起
• [重要] Movable Type 7 r.5301 / Movable Type 6.8.7 / Movable Type Premium 1.53 の提供を開始（セキュリティアップデート）

2022 年 9 月 2 日 更新

• XMLRPC API におけるコマンド・インジェクションの脆弱性対策
• 「情報セキュリティ早期警戒パートナーシップ」について
  この脆弱性情報は、製品利用者への周知を目的に、開発者が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。詳細は、下記の URL を参照ください
  • 脆弱性関連情報の届出受付