新着情報

JVN#91153973 で注意喚起されている複数の脆弱性について、調査した結果、PowerCMS にも同様のリスクがあるとわかり対応を進めております。

対策について近日中に修正ファイルのリリースを行う予定です。
リリースを行うまでの間、また修正ファイルの適用が難しいなどの事情がある場合、下記の内容に従って対策をお願いいたします。

お客様にはご迷惑をおかけいたしますこと、深くお詫び申し上げます。

影響を受けるバージョン

• PowerCMS 7.2 / 6.84 / 5.44 を含む以前のバージョン

※ サポートを終了しておりますバージョンについては記載しておりませんが、サポートを終了しているバージョンもこの脆弱性の影響を受けます。

対策版リリースまでの対策

mt-upgrade.cgi, mt-search.cgi, mt-ftsearch.cgi を利用されている場合に脆弱性のリスクがあり、対象の CGI を利用できなくすることで対策が行えます。

mt-upgrade.cgi, mt-search.cgi, mt-ftsearch.cgi を利用している環境の場合

mt-upgrade.cgi, mt-search.cgi, mt-ftsearch.cgi へのアクセスに対して、アクセス元による制限や HTTP 認証など、信頼のおけるアクセスのみアクセス可能となるように制限を行ってください。

mt-upgrade.cgi, mt-search.cgi, mt-ftsearch.cgi を利用していない環境の場合

mt-upgrade.cgi, mt-search.cgi, mt-ftsearch.cgi へアクセスできなくすることで対策を行ってください。

PowerCMS を CGI/FastCGI で利用している場合

下記のファイルについて、サーバーからファイルを削除したりパーミッションを付与しないようにするなど、動作しないようにしてください。

• mt-upgrade.cgi
• mt-search.cgi
• mt-ftsearch.cgi

※ PowerCMS の環境変数 UpgradeScript, SearchScript, FreeTextSearchScript を設定されている場合、mt-upgrade.cgi, mt-search.cgi, mt-ftsearch.cgi をリネームして利用されている可能性があり、リネーム後のファイルを見つけて対策を行ってください。

PowerCMS を PSGI で利用している場合

環境変数 RestrictedPSGIApp に upgrade, new_search, ft_search を設定し、各アプリケーションを禁止してください。

RestrictedPSGIApp  upgrade
RestrictedPSGIApp  new_search
RestrictedPSGIApp  ft_search

※ 環境変数 RestrictedPSGIApp の指定が既にある場合、環境変数リファレンスに記載の使い方を参考に、設定を追記してください。

ワークアラウンドの対策 (PowerCMS クラウドの場合)

PowerCMS クラウドの場合、 過去30日間の mt-search.cgi, mt-ftsearch.cgi の利用状況を確認し、mt-search.cgi, mt-ftsearch.cgi を利用していないと判断できた契約環境は準備でき次第一斉に mt-search.cgi, mt-ftsearch.cgi の機能を無効化して対策を行います。

また、mt-search.cgi, mt-ftsearch.cgi を利用していないと判断できなかった契約環境の場合、お客様と調整の上、対策を行います。