Vvvebのパスワード再設定に認証回避の脆弱性、修正版あり
CMSのVvvebで、パスワード再設定の機能を突かれると、ログインなしでアカウントを乗っ取られる脆弱性が見つかりました。自社サイトやECサイトでVvvebを動かしている組織が対象で、1.0.8.7への更新が必要です。まず使っている版を確認してください。
急ぎ度: 早めに
KEVへの掲載は確認できていませんが、CVSS v3が9.8で認証なしにネットワークから狙え、修正版の1.0.8.7がすでに出ているため、公開中のサイトは早めの更新が妥当です。
関係があるか
インターネットに公開したVvvebでサイトやブログ、ECサイトを運用している組織が当てはまります。制作会社に運用を任せているサイトも対象です。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Vvveb | 1.0.8.7より前の版 | 1.0.8.7 |
確かめ方
- 1サーバーに置いたVvvebの版を確認し、1.0.8.7より前なら対象です。
- 2管理画面や配置したファイルから版が読み取れない場合は、導入した担当者か制作会社に、導入時の版と更新履歴を尋ねてください。
- 3社内に複数のサイトがあるときは、Vvvebで作ったサイトを洗い出し、公開しているものから順に確認します。
何が起きたか
Vvvebのパスワード再設定機能に不備があり、ログインしていない第三者が他人のアカウントを乗っ取れる状態でした。
再設定のときに受け取るuserとtokenという2つのGETパラメーターの検証が不十分で、本人確認をすり抜けられます。原文の題には、PHPの配列を使った入力（array injection）が原因とあります。
ベンダーは1.0.8.7でこの問題を修正しました。分類はCWE-287（不適切な認証）です。
攻撃の流れ
-
1
公開サイトを探す
Vvvebで動くサイトのパスワード再設定の入口に、外部から到達できる状態です。
-
2
不正な値を送る
再設定の要求に、検証をすり抜ける値を含めて送ります。
-
3
本人確認を回避
サイト側が正しい再設定の要求だと誤って受け入れます。
-
4
アカウント乗っ取り
標的の利用者になりすまして操作できるようになります。
どう悪用されるか
悪用にログインは不要です。ネットワーク経由で攻撃でき、特別な条件や利用者の操作も要らず、CVSSの評価では攻撃の難易度が低いとされています。再設定の入口に外部から届くサイトは、とくに狙われやすい状況です。
成功すると、標的のアカウントを完全に奪われます。機密性・完全性・可用性のすべてが高い影響とされており、コンテンツの閲覧や書き換え、アカウント情報の変更が起こり得ます。どこまで被害が広がるかは、乗っ取られたアカウントの権限しだいです。管理者を奪われれば、サイト全体に及ぶ恐れがあります。
今すぐやること
-
1
使っている版を確認する
公開しているVvvebサイトをすべて洗い出し、版が1.0.8.7より前かどうかを確かめます。
-
2
バックアップを取って1.0.8.7に更新する
ファイルとデータベースのバックアップを取ってから、修正版に更新します。テスト環境があれば、先に動作を確認してください。
-
3
アカウントの状態を点検する
更新後、管理者権限のアカウントの増減や、身に覚えのないパスワード変更・ログインがないかを確認します。アクセスログに不審なパスワード再設定の要求が残っていないかも見ておくと、更新前の被害を判断しやすくなります。
-
4
不審な点があればパスワードを変更する
乗っ取りの疑いが否定できないアカウントは、パスワードを変更し、ログイン中のセッションがあれば破棄します。
すぐ更新できないとき
すぐに更新できないときは、次の暫定策で外部から狙われる機会を減らせます。いずれも修正の代わりにはなりません。
- WAFやWebサーバーの設定で、パスワード再設定の機能へのアクセスを、必要なIPアドレスだけに絞る。
- 再設定の機能を使う予定がなければ、更新までその入口を一時的に閉じる。
- 更新が大幅に遅れるサイトは、公開を一時停止することも検討する。
背景
Vvvebは、ページビルダーを備えたPHP製のCMSです。ウェブサイトやブログ、ECサイトを管理画面から組み立てる用途で使われ、運用担当者のアカウントがそのままサイトの編集権限を握ります。そのためアカウントの乗っ取りは、公開内容の改ざんや顧客向け画面の差し替えに直結しやすい位置づけです。
パスワード再設定は、ログイン前の利用者が使う機能なので、外から届く入口になります。PHPではGETパラメーターが文字列ではなく配列として届くことがあり、型を確認しないまま値を比べると、想定と違う判定になることがあります。今回の原文の題が示す原因も、この種の入力の扱いです。
よくある質問
Q.更新したあと、パスワードは全員分変える必要がありますか。
Q.制作会社に運用を任せている場合は、何を頼めばよいですか。
まだ分かっていないこと
- 実際の攻撃で悪用されたかどうかは分かっていません。KEVへの掲載も確認できておらず、状況が変わる可能性があります。
- ベンダーの告知では、修正版以外の回避策が案内されていません。管理者アカウントも同じ条件で乗っ取れるかなど、被害の細部も分かっていません。最新の状況は、ベンダーのセキュリティアドバイザリ（GHSA-qw5g-hcm8-9jcj）で確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Vvveb is a powerful and easy to use CMS with page builder to build websites, blogs or ecommerce stores. Prior to version 1.0.8.7, the password reset functionality is vulnerable to an Authentication Bypass due to insufficient validation of the user and token GET parameters. This issue has been patched in version 1.0.8.7.
出典: CVE.org (CVE Program・cvelistV5) NVD
参照URL
- web github.com