公開日：2011/01/26　最終更新日：2011/01/26

JVN#54092716
MODx Evolution における SQL インジェクションの脆弱性

概要

MODx Evolution には、SQL インジェクションの脆弱性が存在します。

影響を受けるシステム

  • MODx Evolution 1.0.4 およびそれ以前

詳細情報

MODx Evolution は、Modx CMS Project が提供するコンテンツ管理システム (CMS) です。MODx Evolution には、SQL インジェクションの脆弱性が存在します。

想定される影響

遠隔の第三者によって、HTTP リクエスト経由でデータベースを操作される可能性があります。その結果、任意の PHP プログラムを実行される可能性があります。

対策方法

アップデートする
開発者が提供する情報をもとに最新版へアップデートしてください。

なお、本脆弱性は以下のバージョンで修正されています。

  • MODx Evolution 1.0.5

ベンダ情報

ベンダ リンク
MODx CMS Project MODX Evolution 1.0.5 Tightens Security and Lots of Little Improvements
Get the latest MODx releases
MODx Evolution 1.0.5 日本語版

参考情報

  1. IPA
    「MODx Evolution」におけるセキュリティ上の弱点（脆弱性）の注意喚起

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

2011.01.26における脆弱性分析結果

評価尺度 攻撃成立条件 評価値
攻撃経路 インターネット経由からの攻撃が可能
  • 高
認証レベル 匿名もしくは認証なしで攻撃が可能
  • 高
攻撃成立に必要なユーザーの関与 ユーザが何もしなくても脆弱性が攻撃される可能性がある
  • 高
攻撃の難易度 ある程度の専門知識や運 (条件が揃う確率は高い) が必要
  • 中 - 高

各項目の詳しい説明

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2010-3929
JVN iPedia JVNDB-2011-000008

更新履歴

2011/01/26
参考情報に IPA 注意喚起へのリンクを追加しました。