REDAXO coreに認証回避の脆弱性、5.21.4で修正
REDAXO coreに、ログインしていない第三者が管理者として管理画面に入れてしまう脆弱性が見つかりました。5.3.0から5.21.3までを使っているサイトが対象で、修正版は5.21.4です。自社サイトの版を確認し、該当すれば更新してください。
急ぎ度: 早めに
CVSS v3は9.8で認証も利用者の操作も要らず、修正版5.21.4が出ているため、悪用の報告を待たずに更新計画を立てる段階です。
関係があるか
REDAXOでWebサイトを運用している組織が対象です。管理画面がインターネットから届く構成だと、影響を受けやすくなります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| REDAXO core | 5.3.0以上、5.21.4未満 | 5.21.4 |
確かめ方
- 1REDAXOの管理画面にログインし、システムのページで表示されるREDAXOの版を見ます。
- 2サーバーに入れる場合は、
redaxo/src/core/package.ymlのversionの行でも確認できます。 - 3版が5.3.0以上5.21.4未満なら該当します。ステージング環境や、使っていない古いサイトも忘れずに確認してください。
何が起きたか
REDAXO coreに、認証なしで管理者になりすませる脆弱性が見つかりました。ログインしていない第三者が管理画面に入り、サイトの内容を書き換えたり、サーバー上でコードを実行したりできる恐れがあります。
問題があるのは、structure/historyプラグインが扱う一時的なログイン用トークンです。このトークンの元になる秘密の値を攻撃者が予測できる状態に持ち込めるため、adminなどのアカウント用に偽のトークンを作れてしまいます。分類はCWE-287（不適切な認証）です。
CVSS v3は9.8、v4は9.3で、どちらも最高レベルに近い評価です。REDAXO core 5.21.4で修正されました。
攻撃の流れ
-
1
到達する
攻撃者がインターネット経由でREDAXOのサイトに接続します。
-
2
秘密値を操作
セッションに結び付いた秘密の値を、予測できる状態に持ち込みます。
-
3
トークン偽造
adminなどのアカウント用に、一時ログイン用のトークンを偽造します。
-
4
管理画面に侵入
パスワードなしで管理者としてバックエンドに入ります。
-
5
コード実行
ライブモード以外の状態では、サーバー上でのコード実行につながります。
どう悪用されるか
悪用に認証は要りません。ネットワーク経由で対象サイトに到達できれば足り、管理者や利用者に何かを操作させる必要もありません。攻撃の難易度は低いと評価されています。
成功すると、管理者として管理画面に入られます。情報の閲覧、サイト内容の書き換え、機能の停止がいずれも起こりえます。ライブモード以外では、サーバー上でコードを実行される恐れもあります。
今すぐやること
-
1
使っている版を確認する
本番、ステージング、検証用を含め、REDAXOを動かしているサイトを洗い出し、版が5.3.0以上5.21.4未満のものを一覧にします。
grep '^version' redaxo/src/core/package.yml -
2
バックアップを取って5.21.4に更新する
ファイルとデータベースのバックアップを取ったうえで、REDAXO coreを修正版の5.21.4に更新します。更新後は管理画面にログインでき、サイトが正常に表示されることを確認します。
-
3
管理者アカウントとログを見直す
身に覚えのないユーザーの追加や、管理者権限への変更がないかを確認します。サーバーのアクセスログに、心当たりのない時間帯の管理画面へのアクセスがないかも見ておくと安心です。
-
4
不審な点があれば初動対応に移る
不審なアカウントや改ざんの痕跡が見つかった場合は、管理者パスワードの変更と、テンプレートやモジュールなど実行されるコードの点検に進みます。
すぐ更新できないとき
すぐに更新できないときは、管理画面（バックエンド）へのアクセスを、社内のIPアドレスやVPN経由に限定すると、外部から届く範囲を狭められます。ただし、これで脆弱性が防げると確認されているわけではありません。プラグインを無効にした場合の効果もあわせて、ベンダーの告知を確認してください。
背景
REDAXOはPHPで動くオープンソースのCMSで、サイトの構造・記事・テンプレートを管理画面から編集します。テンプレートやモジュールにPHPのコードを書ける設計のため、管理者権限を奪われると、サイトの改ざんにとどまらず、サーバー上で任意のコードを動かされるところまで届きやすくなります。
今回の脆弱性は、パスワードを破るのではなく、ログインに使う一時トークンそのものを偽造する点が特徴です。強いパスワードや多要素認証をユーザー側で整えていても、その手前の仕組みを突かれるため、設定の見直しだけでは防げません。
よくある質問
Q.5.3.0より前の版は影響を受けませんか。
Q.更新したあと、パスワードは変えたほうがよいですか。
まだ分かっていないこと
- 実際の攻撃で悪用された事例があるかどうかは、公表されていません。
- structure/historyプラグインを使っていない、または無効にしている環境でも影響を受けるかは、分かっていません。
- ライブモードで運用している場合の影響の範囲や、攻撃を受けたときにログに残る痕跡は、公表されていません。最新の情報はREDAXOのGitHubのセキュリティアドバイザリで確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| redaxo | core |
5.3.0 以上 5.21.4 未満 |
5.21.4 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
REDAXO core from 5.3.0 before 5.21.4 contains an authentication bypass vulnerability in the structure/history plugin that allows unauthenticated attackers to forge temporary login tokens. Attackers can force the session-tied secret into a predictable state and forge tokens for accounts like admin, gaining backend access and code execution outside live mode.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com