JVNDB-2022-000064

Movable Type の XMLRPC API におけるコマンドインジェクションの脆弱性

シックス・アパート株式会社が提供する Movable Type の XMLRPC API には、コマンドインジェクションの脆弱性 (CWE-74) が存在します。
Movable Type の XMLRPC API に、細工したメッセージを POST メソッドで送信することで、任意の Perl スクリプトを実行可能であり、これを通じて OS コマンドの実行も可能です。
開発者によると、本脆弱性を悪用してもコマンドの引数に任意の値を与えて実行することはできないとのことです。

この脆弱性情報は、次の方が製品開発者に直接報告し、製品開発者との調整を経て、製品利用者への周知を目的に JVN での公表に至りました。
報告者: 大阪経済大学

また、この脆弱性情報は、ほぼ同時期に次の方が情報セキュリティ早期警戒パートナーシップに基づき IPA に報告し、JPCERT/CC が開発者との調整を行いました。
報告者: 株式会社ブロードバンドセキュリティ 志賀 拓馬 氏

シックス・アパート株式会社

• Movable Type 7 r.5202 およびそれ以前 (Movable Type 7系)
• Movable Type 6.8.6 およびそれ以前 (Movable Type 6系)
• Movable Type Advanced 6.8.6 およびそれ以前 (Movable Type Advanced 6系)
• Movable Type Advanced 7 r.5202 およびそれ以前 (Movable Type Advanced 7系)
• Movable Type Premium 1.52 およびそれ以前
• Movable Type Premium Advanced 1.52 およびそれ以前

開発者によると、すでにサポート終了をしたバージョンを含む、Movable Type 4.0 以降のすべてのバージョンが本脆弱性の影響を受けるとのことです。

遠隔の第三者によって、任意の Perl スクリプトを実行される可能性があります。その結果、任意の OS コマンドを実行される可能性があります。

[アップデートする]
開発者が提供する情報をもとに、最新版へアップデートしてください。
開発者は、本脆弱性を修正した次のバージョンをリリースしています。

• Movable Type 7 r.5301 (Movable Type 7系)
• Movable Type Advanced 7 r.5301 (Movable Type Advanced 7系)
• Movable Type 6.8.7 (Movable Type 6系)
• Movable Type Advanced 6.8.7 (Movable Type Advanced 6系)
• Movable Type Premium 1.53
• Movable Type Premium Advancedn 1.53

[ワークアラウンドを実施する]
次の回避策を適用することで、本脆弱性の影響を回避することが可能です。

• Movable Type の XMLRPC API 機能を無効化する

シックス・アパート株式会社

• JVN : シックス・アパート株式会社からの情報
• MOVABLETYPE NEWS : [重要] Movable Type 7 r.5301 / Movable Type 6.8.7 / Movable Type Premium 1.53 の提供を開始（セキュリティアップデート）

1. OSコマンドインジェクション(CWE-78) [IPA評価]

1. CVE-2022-38078

1. JVN : JVN#57728859
2. National Vulnerability Database (NVD) : CVE-2022-38078
3. IPA 重要なセキュリティ情報 : 「Movable Type」の XMLRPC API におけるコマンド・インジェクションの脆弱性について（JVN#57728859）
4. JPCERT 注意喚起 : Movable TypeのXMLRPC APIの脆弱性に関する注意喚起

• [2022年08月24日]
    掲載
• [2024年06月13日]
    参考情報：National Vulnerability Database (NVD) (CVE-2022-38078) を追加