Vvvebに管理者のAPIトークンを奪われる脆弱性、修正版あり
CMSのVvvebで、管理者アカウントを持つ人が別の管理者のAPIトークンを読み書きできる脆弱性が公表されました。複数の管理者を置く運用では、1.0.8.7以降への更新と管理者の棚卸しを進めてください。
急ぎ度: 早めに
CVSS v3は9.0のcriticalで修正版も出ていますが、悪用にはログイン済みの管理者アカウントが必要なため、至急とまでは言えず、早めの更新が妥当です。
関係があるか
Vvvebでサイト・ブログ・ECサイトを運用し、複数の管理者アカウントを発行している組織が主な対象です。制作会社や外部の運用担当者に管理者権限を渡している環境は、とくに影響を受けやすくなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Vvveb（givanz） | 1.0.8.7より前のすべての版 | 1.0.8.7 |
確かめ方
- 1自社でVvvebを使っているか、情シス・Web担当・制作会社に確認します。ECサイトやブログ、キャンペーンサイトも見落としやすいところです。
- 2稼働中の版が1.0.8.7より前かどうかを、管理画面の表示やインストール先のファイルで確認します。
- 3管理者権限を持つアカウントの一覧を出し、複数人に付与されているか、退職者や委託終了後のアカウントが残っていないかを見ます。
何が起きたか
Vvvebの管理画面で、管理者権限を持つユーザーが、ほかの管理者のAPIトークンを読み出し、さらに書き換えられる脆弱性が見つかりました。
問題があるのは、管理画面のadmin/auth-tokenというエンドポイントです。操作しようとしているトークンが本当にそのユーザーのものかを確かめておらず、他人のトークンにも手が届きます。いわゆるIDOR（安全でない直接オブジェクト参照）にあたり、分類はCWE-285（不適切な認可）です。
開発元は1.0.8.7で修正しました。
攻撃の流れ
-
1
管理者でログイン
Vvvebの管理者アカウントでログインします。
-
2
他人のトークン指定
admin/auth-tokenで、別の管理者のトークンを対象にします。
-
3
トークンの読み書き
持ち主の確認がないため、他の管理者のAPIトークンを読み出し、上書きできます。
-
4
なりすまして操作
奪ったトークンで、その管理者の権限のままAPIを操作できる状態になります。
どう悪用されるか
悪用にはVvvebの管理者アカウントでのログインが必要です。ネットワーク経由で試せ、特別な条件や、ほかの利用者の操作は要りません。
CVSSのベクターでは、権限の範囲が変わる（S:C）ことが評価されています。被害は、他の管理者に紐づくAPIトークンが読まれることと、書き換えられることです。機密性と完全性への影響は高く、可用性への影響は低いとされています。奪われたトークンで、その管理者が許されている範囲の操作を代わりに行われるおそれがあります。
管理者が一人だけで、そのアカウントも守られている環境では、この経路が使われる余地は小さいでしょう。ただし、管理者のパスワードが漏れた場合には、被害が広がる足がかりになります。
今すぐやること
-
1
Vvvebを1.0.8.7以降に更新する
更新前にデータベースとファイルのバックアップを取り、まずテスト環境で表示と管理画面の動作を確認してから本番に反映します。制作会社が管理している場合は、更新の予定を問い合わせてください。
-
2
管理者アカウントを棚卸しする
使っていないアカウントや、退職者・委託終了後のアカウントを無効にします。管理者権限は、実際に必要な人だけに絞ります。
-
3
更新後にAPIトークンを再発行する
公表前に読まれていた可能性を考え、管理者ごとのAPIトークンを作り直します。トークンを使う外部連携がある場合は、設定を差し替える必要があります。
-
4
管理画面の操作履歴を確認する
Webサーバーのアクセスログで、admin/auth-tokenへの見慣れないアクセスや、心当たりのないAPI操作がないかを見ます。
-
5
開発元の告知を確認する
GitHub上のセキュリティアドバイザリで、影響する版と修正の内容に変わりがないか、補足が出ていないかを見ておきます。
すぐ更新できないとき
すぐに更新できないときは、管理画面にアクセスできる送信元をIPアドレスやVPNで絞り、管理者アカウントを最小限にしてください。管理者のパスワードも変更しておきます。これらは悪用の機会を減らすつなぎで、根本的な対策は1.0.8.7への更新です。公式の回避策の有無は、開発元の告知で確認してください。
背景
Vvvebは、ページビルダー付きのオープンソースCMSで、Webサイト、ブログ、ECサイトを作るために使われます。管理画面は、コンテンツの公開から商品の登録、外部連携の設定までを担います。APIトークンは、画面を介さずにその管理者として操作するための鍵で、ほかのシステムとつなぐ用途に使われます。
今回の脆弱性のIDORは、ログインしているかどうかは見ていても、操作している対象が本人のものかを見ていないときに起きる種類の問題です。管理者が複数いる環境では、権限の低い管理者が上位の管理者のトークンに手を伸ばせる点が問題になります。制作会社や外部の運用担当者に管理者権限を渡している組織ほど、気にしておきたい脆弱性です。
よくある質問
Q.サイトの訪問者や一般の会員にも影響がありますか。
Q.更新したあとも、トークンの再発行は必要ですか。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Vvveb is a powerful and easy to use CMS with page builder to build websites, blogs or ecommerce stores. Prior to version 1.0.8.7, authenticated IDOR on admin/auth-token endpoint allows any administrator to read and overwrite another administrator's API tokens. This issue has been patched in version 1.0.8.7.
出典: CVE.org (CVE Program・cvelistV5) NVD