【活用ガイド】

JVNDB-2008-003021

Francisco Burzi PHP-Nuke などの製品で使用される CAPTCHA における CAPTCHA 検証を通過する脆弱性

概要

以下の製品で使用されている CAPTCHA 実装は、code_bg.jpg 背景画像および PHP ImageString 関数が不十分な画像の数を生成するため、CAPTCHA 検証を通過する脆弱性が存在します。
(1) Francisco Burzi PHP-Nuke
(2) my123tkShop e-Commerce-Suite
(3) phpMyBitTorrent
(4) TorrentFlux
(5) e107
(6) WebZE
(7) Open Media Collectors Database
(8) Labgab
CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 7.5 (重要) [NVD値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): なし
  • 完全性への影響(I): 高
  • 可用性への影響(A): なし
CVSS v2 による深刻度
基本値: 6.8 (警告) [NVD値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): 部分的
  • 完全性への影響(I): 部分的
  • 可用性への影響(A): 部分的
影響を受けるシステム


e107.org
  • e107 0.7.11
labgab
  • labgab 1.1
my123tkshop
  • e-commerce-suite 0.9.1
opendb
  • opendb 1.5.0b4
phpmybittorrent
  • phpmybittorrent 1.2.2
PHPNUKE
  • PHP-Nuke 7.0 および 8.1
TorrentFlux
  • TorrentFlux 2.3
webze
  • webze 0.5.9

想定される影響

第三者により、可能な限りのイメージチェックサムおよび対応する数値文字列のテーブルを使用する自動攻撃を介して、CAPTCHA 検証を通過される可能性があります。
対策

ベンダ情報および参考情報を参照して適切な対策を実施してください。
ベンダ情報

e107.org labgab my123tkshop opendb phpmybittorrent PHPNUKE TorrentFlux webze
CWEによる脆弱性タイプ一覧  CWEとは?

  1. 不十分なランダム値の使用(CWE-330) [NVD評価]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2008-2020
参考情報

  1. National Vulnerability Database (NVD) : CVE-2008-2020
更新履歴

  • [2012年06月26日]
      掲載
  • [2024年03月01日]
      CVSS による深刻度：内容を更新
      CWE による脆弱性タイプ一覧：内容を更新

公表日2008/04/29
登録日2012/06/26
最終更新日2024/03/01