後ã‹ã‚‰ã“ã®ä»¶ã«ã¤ã„ã¦çŸ¥ã‚ŠãŸããªã£ãŸæ–¹ã®ãŸã‚ã«å響・関連発言をã¾ã¨ã‚ã¾ã—ãŸã€‚ （発言をã¾ã¨ã‚ãŸã ã‘ã§ç‰¹ã«çµè«–çš„ãªã‚‚ã®ã¯ã‚ã‚Šã¾ã›ã‚“。）
EC-CUBE脆弱性 公開ä¸æ¢é–¢é€£å響ã¾ã¨ã‚
後ã‹ã‚‰ã“ã®ä»¶ã«ã¤ã„ã¦çŸ¥ã‚ŠãŸããªã£ãŸæ–¹ã®ãŸã‚ã«å響・関連発言をã¾ã¨ã‚ã¾ã—ãŸã€‚ （発言をã¾ã¨ã‚ãŸã ã‘ã§ç‰¹ã«çµè«–çš„ãªã‚‚ã®ã¯ã‚ã‚Šã¾ã›ã‚“。）
EC-CUBEè„†å¼±æ€§æƒ…å ±ã®å…¬é–‹ã®æ˜¯éž | サンクユーWEB制作ブãƒã‚°
脆弱性ã¦ãªã‚“ã¦èªã‚€ã®ï¼Ÿè„†å¼±æ€§ã¨ã¯ã€Œãœã„ã˜ã‚ƒãã›ã„ã€ã¨èªã¿ã¾ã™ã€‚ ãŸã¾ã«ã€ãŠå®¢æ§˜ã¨ä¼šè©±ã—ã¦ã„ã‚‹ã¨ã€Œãã˜ã‚ƒãã›ã„ã€ã¨è¨€ã‚れる方ãŒãŠã‚‰ã‚Œã€ã•ã‚Šã’ãªã「ãã®ãœã„ã˜ã‚ƒãã›ã„ã§ã™ãŒãƒ»ãƒ»ãƒ»ã€ã¨æ£ã—ã„èªã¿æ–¹ã‚’æ•™ãˆã¦ã‚ã’ã‚‹ãらã„ã¯å„ªã—ã„ç§ã§ã™ã€‚ ã”ã稀ã«ã€åˆ¶ä½œä¼šç¤¾ã®æ–¹ã§ã‚‚「ãã˜ã‚ƒãã›ã„ã€ã¨è¨€ã‚れる方ãŒãŠã‚‰ã‚Œã‚‹ã®ã«ã¯ãƒ“ックリ仰天ã§ã™ã€‚ ãã‚Œã ã‘WEB制作æ¥ç•Œã‚‚æ•·å±…ãŒä½Žããªã£ãŸã‚“ã ãªã。。。ã¨æ„Ÿæ…¨æ·±ããªã‚Šã¾ã™ã€‚ 脆弱性ã¦ä½•ï¼Ÿã™ã¿ã¾ã›ã‚“。 冒é ã‹ã‚‰è„±ç·šã—ã¾ã—ãŸã€‚ 脆弱性ã¨ã¯ã€ã‚·ã‚¹ãƒ†ãƒ ã®ä¸å…·åˆï¼ˆãƒ—ãƒã‚°ãƒ©ãƒ ã®ä¸å…·åˆã€ä»•æ§˜ã®ä¸å…·åˆï¼‰ã«ã‚ˆã‚‹ã‚»ã‚ュリティã®æ¬ 陥ã®ã“ã¨ã‚’言ã„ã¾ã™ã€‚ 悪æ„ã®ã‚る人ãŒãã®è„†å¼±æ€§ã‚’利用ã—ã¦ã€ã‚·ã‚¹ãƒ†ãƒ ã®å†…部ã«å…¥ã‚Šè¾¼ã‚“ã ã‚Šã€æƒ…å ±ã‚’ç›—ã‚“ã ã‚Šã™ã‚‹ã“ã¨ãŒã§ãã¾ã™ã€‚ ã§ã™ã®ã§ã€ã‚·ã‚¹ãƒ†ãƒ （サイト）ã«è„†å¼±æ€§ãŒç™ºè¦‹ã•ã‚ŒãŸéš›ã«ã¯ã€é€Ÿã‚„ã‹ã«å¯¾å¿œã™ã‚‹å¿…è¦ãŒã‚ã‚Šã¾ã™ã€‚ 脆弱性ã¯ã‚ã£ã¦ã¯ãªã‚‰ãªã„ã‚‚ã®ã§ã™ãŒã€ã»ã¨ã‚“ã©ã®ã‚·ã‚¹ãƒ†ãƒ ã«
EC-CUBEã§ç™ºè¦‹ã—ãŸè„†å¼±æ€§ã®è©³ç´° å‰ç·¨
本件ã¯EC-CUBEã«é–¢ã—ã¦ã®ä¸€ç•ªæœ€åˆã®å±Šå‡ºã ã£ãŸã®ã§ã™ãŒã€å†ç¾æ–¹æ³•ãŒè¤‡é›‘ã§ã€è‡ªåˆ†ã®èª¬æ˜ŽãŒã†ã¾ããªã‹ã£ãŸã®ã‚‚ã‚ã£ã¦ã€IPAã®æ–¹ã¨è©±ãŒã†ã¾ãã‹ã¿åˆã‚ãšè‹¦åŠ´ã—ãŸè¦šãˆãŒã‚ã‚Šã¾ã™ã€‚ ã“ã‚Œã¯Postgresを利用ã—ã¦ã„ã‚‹EC-CUBEã®ä¸Šè¨˜ãƒãƒ¼ã‚¸ãƒ§ãƒ³ã«ãŠã„ã¦ã€ä¸æ£ãªUTF-8æ–‡å—コードをリクエストã«å«ã‚ã‚‹ã¨ã‚¨ãƒ©ãƒ¼ãŒç™ºç”Ÿã—ã€ã‚¨ãƒ©ãƒ¼ãƒ¡ãƒƒã‚»ãƒ¼ã‚¸ã¨ã—ã¦ã€PHPSESSIDã«ç´ã¥ã„ã¦ã„ã‚‹PHPセッションオブジェクトã«å…¥ã£ã¦ã„ã‚‹æƒ…å ±ã®å…ˆé 680ãƒã‚¤ãƒˆéƒ¨åˆ†ï¼ˆé•·ã•ã¯ç’°å¢ƒã«ã‚ˆã‚‹ï¼‰ãŒã€ãƒ¦ãƒ¼ã‚¶ãƒ¼ã®ãƒ–ラウザ上ã§æš´éœ²ã•ã‚Œã¦ã—ã¾ã†ã€ã¨ã„ã†è„†å¼±æ€§ã¨ã€ãã®ã‚¨ãƒ©ãƒ¼ãƒ¡ãƒƒã‚»ãƒ¼ã‚¸ã®ãƒ€ãƒ³ãƒ—ã«ã‚¿ã‚°ã‚’å«ã¾ã›ã‚‹ã“ã¨ãŒã§ãã€XSSãŒå¯èƒ½ã€ã¨ã„ã†è„†å¼±æ€§ã§ã™ã€‚ å†ç¾ã«ä½¿ã£ãŸPostgreSQLã®ãƒãƒ¼ã‚¸ãƒ§ãƒ³ã¯9.2.3ã§ã€MySQL利用ã®EC-CUBEã ã¨å†ç¾ã›ãšã€ã¾ãŸEC-CUBE2.12.3ã§ã¯åŒæ§˜ã®æ”»æ’ƒã‚’è¡Œã£ã¦ã‚‚æƒ…å ±ã¯å‡ºåŠ›ã•ã‚Œã¾ã›ã‚“ã§ã—ãŸã€‚ 当時使
第4回ã¾ã£ã¡ã‚ƒ445「インシデントレスãƒãƒ³ã‚¹ãƒ¯ãƒ¼ã‚¯ã€€EC-CUBEã®äº‹ä¾‹ã€ | 水無月ã°ã‘らã®ãˆã³æ—¥è¨˜
公開: 2009å¹´2月2æ—¥19時10åˆ†é ƒ ãƒãƒƒã‚¯ã‚ªãƒ³ç¦ç”°ã•ã‚“ã¨JPCERT/CCã®å®‰è—¤ã•ã‚“ã€ä½è—¤ã•ã‚“ã®ãŠè©±ã€‚JVN#81111541 (jvn.jp)ã®ãƒãƒ³ãƒ‰ãƒªãƒ³ã‚°ã«ã¤ã„ã¦ã€‚ ※「ãŠãƒ¼ã„ã€ãƒã‚¹ã‚¿ãƒ¼ã¯ã£ã¨ã„ã¦ãƒ¼ã€ã¨ã„ã†æ„Ÿã˜ã§ã€CHECK PC! ã®ãƒã‚¹ã‚¿ãƒ¼ (www.checkpc.go.jp)ãŒè²¼ã‚Šå‡ºã•ã‚ŒãŸã‚Šã€‚ EC-CUBEã«ã¤ã„ã¦æ ªå¼ä¼šç¤¾ãƒãƒƒã‚¯ã‚ªãƒ³ / 大阪本社・æ±äº¬æ”¯ç¤¾ 従æ¥å“¡ç´„40åEC-CUBEã¯ã‚ªãƒ¼ãƒ—ンソースã®ECソフト2007/11ã‹ã‚‰é…布ã€ç¾åœ¨ã§ã¯ç´„3,000店舗ãŒåˆ©ç”¨ã€‚毎月200店舗ãらã„ã®ãƒšãƒ¼ã‚¹ã§å¢—åŠ ã€‚å‚è€ƒæƒ…å ±ã¨ã—ã¦ã€æ¥½å¤©ã®ã‚·ãƒ§ãƒƒãƒ—æ•°ã¯24,000ãらã„。3,000ã¨ã„ã†æ•°å—ã¯ã‘ã£ã“ã†å¤šã„ã¨è¨€ã£ã¦è‰¯ã„ å•é¡Œã®æ¦‚è¦8/27 : EC-CUBE 㧠SQLインジェクションã®è„†å¼±æ€§ç™ºè¦‹ã€ç®¡ç†è€…権é™å¥ªå–å¯èƒ½10/1 : JVN#81111541ã®ä¸€èˆ¬å…¬é–‹ãƒ»IPA注æ„å–šèµ·EC-C
1
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
{{#tags}}- {{label}}
{{/tags}}