Joomla拡張Gridboxに深刻な脆弱性、2.20.4.2で修正済み
JoomlaのGridbox拡張機能に、本来は編集権限が必要な処理の権限確認が抜けている脆弱性が見つかりました。2.20.4.2より前のGridboxを入れたJoomlaサイトが対象で、CVSS v4は9.3です。サイトごとにGridboxの版を確認し、2.20.4.2以降へ更新してください。
急ぎ度: 早めに
CVSS v4が9.3で、ログインなしでネットワーク越しに悪用できる評価ですが、実際の攻撃は確認されておらず、修正版が出ているため、計画的ではなく早めの更新が妥当です。
関係があるか
JoomlaでGridbox拡張機能を使っているサイトが対象です。公開サイトを運用している企業や制作会社のほか、検証用や使われなくなったサイトに入ったままのGridboxも含まれます。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Gridbox extension for Joomla（balbooa.com） | 2.20.4.2より前の版 | 2.20.4.2 |
確かめ方
- 1Joomlaの管理画面で「システム」から「拡張機能」の「管理」を開き、Gridboxを検索して版を確認します。
- 2制作会社や外部の運用業者に任せているサイトは、Gridboxを使っているかどうかと、その版を問い合わせます。
- 3ステージング環境や過去に作ったサイトも洗い出します。公開されたまま忘れられていると、更新から漏れやすいためです。
何が起きたか
Gridboxのエディター用の処理に権限確認が抜けており、本来は編集権限を持つ利用者だけが呼べる処理に、権限のない相手が届いてしまう脆弱性です。2026年10月27日に公開されました。
該当するのはEditorControllerのgetBlogPostsというタスクです。このタスクはorderパラメーターを読み取ってgetBlogPosts()を呼び出しますが、同じコントローラーのほかのタスクが実行しているGridboxHelper::checkUserEditLevel()の確認を行っていません。種類はCWE-284（不適切なアクセス制御）です。
評価では、機密性・完全性・可用性のいずれも影響が大きいとされています。ただし、このタスクを通じて具体的に何が読まれ、何が変えられるのかは、現時点の説明からは読み取れません。
攻撃の流れ
-
1
外部から到達
インターネット上の相手が、Gridboxを入れたサイトのエディター用の処理に要求を送ります。
-
2
権限確認なし
対象のタスクには編集権限の確認がなく、ログインしていない相手の要求も受け付けます。
-
3
処理が実行
本来は編集者向けの処理が、権限のない相手の指定した条件で動きます。
-
4
サイトへ影響
評価上は、情報の閲覧、内容の改ざん、サービスの停止に至るおそれがあります。
どう悪用されるか
ネットワーク越しに到達できれば悪用でき、事前のログインは要りません。攻撃の複雑さは低く、サイト管理者や閲覧者に何かを操作させる必要もないと評価されています。Gridboxが入った公開サイトは、そのまま対象になりうるということです。
悪用されたときの被害は、Gridboxが動いているサイトの機密性・完全性・可用性にいずれも大きく及ぶと評価されています。一方、同じサーバー上の別システムなど、周辺への波及は評価に含まれていません。
今すぐやること
-
1
Gridboxを使うサイトを洗い出す
自社と委託先が運用するJoomlaサイトを一覧にし、Gridboxの有無と版を確認します。確認手順は上の「あなたに関係あるか」のとおりです。
-
2
更新の前にバックアップを取る
ファイルとデータベースの両方を保存します。更新で表示が崩れたときに、すぐ戻せるようにするためです。
-
3
修正版に更新する
Gridboxを2.20.4.2以降に更新します。入手と更新の方法は、balbooa.comのGridboxのページで案内されています。更新後は、管理画面で版が上がっていることと、ページやブログの表示を確認します。
-
4
更新前のアクセスログを見直す
更新までの期間に、Gridboxのエディター用の処理へ不審な要求が届いていないかを、Webサーバーのログで確認します。getBlogPostsを含む要求が手がかりになる場合があります。ただし、要求の内容がログに残らない構成もあります。
-
5
米国の政府機関向けの期限は設定されていない
KEVに載っていないため、米国の政府機関向けの対応期限もありません。更新の優先度は、公開サイトかどうかと、個人情報や会員情報を扱うかどうかで決めてください。
すぐ更新できないとき
すぐに更新できない場合は、次の一般的な方法で影響を減らせる可能性があります。これらはベンダーが示した回避策ではなく、効果は確認されていません。
- Gridboxを使っていないサイトでは、拡張機能を無効にするか削除します。
- 使っているサイトは、WAFやWebサーバーの設定で、Gridboxのエディター用の処理への外部からの要求を制限します。ただし、正規の編集作業やページ表示に影響しないかを事前に検証してください。
- 公開の必要がない検証用サイトは、一時的に閉じるか、アクセス元を絞ります。
背景
Gridboxはbalbooa.comが提供するJoomla向けの拡張機能で、ページやブログ記事のレイアウトを管理画面から組み立てる用途に使われます。企業の広報サイトやオウンドメディアで、更新担当者が日常的に触る部品にあたります。
今回の脆弱性は、編集画面の裏で動く処理に権限確認が1つだけ入っていなかったことが原因です。編集用の機能を多数持つ拡張機能では、処理ごとに権限を確認する仕組みが必要で、書き漏らした1か所が外から直接呼べる入口になります。今回は同じコントローラーの他のタスクが確認を行っており、抜けているのはこの1つだけでした。
よくある質問
Q.Joomla本体を最新にしていれば、この脆弱性は直っていますか。
Q.ブログ機能を使っていなければ、影響はありませんか。
まだ分かっていないこと
- この処理を通じて具体的に何が読み取られ、何が変更されるのかは、説明されていません。ベンダーのバージョン履歴やGitHubのアドバイザリで、詳細が追記されていないか確認してください。
- 実際の攻撃や、悪用方法の公開があるかどうかは分かっていません。確認できる情報は、現時点ではKEVの掲載状況や各アドバイザリの更新に限られます。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| balbooa.com | Gridbox extension for Joomla | — | — |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Joomla Extension - balbooa.com - Missing Authorization Check on Editor Controller Task in Gridbox < 2.20.4.2 - EditorController::getBlogPosts() reads the order parameter and invokes getBlogPosts() . Unlike other tasks in this controller, it omits the GridboxHelper::checkUserEditLevel() check.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web security@joomla.org
- web nvd.nist.gov
- web github.com