独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は5月29日、株式会社エスキュービズムが提供する「EC-Orange」に認可回避の脆弱性が存在すると「Japan Vulnerability Notes（JVN）」で発表した。ベライゾンジャパン合同会社の永川（石橋）豪氏がIPAに報告を行った。


　「EC-Orange」は、オープンソースソフトウェア「EC-CUBE」をベースに独自カスタマイズしたECサイト構築システムパッケージ。影響を受けるシステムは以下の通り。

・2015年6月29日より前にEC-Orangeを導入したシステム

　このシステムには、認可回避の脆弱性（CVE-2014-0808）が存在する。CVSS v3による基本値は4.3。これはJVN#51770585で公表された「EC-CUBE における認可回避の脆弱性」と同じ問題となる。

　この脆弱性の影響を受けるサイトにログインしたユーザーが、細工したHTTPリクエストを送ることによって、他のユーザーの登録情報を取得する可能性がある。

　JVNでは、開発者が提供する情報をもとに、最新版へアップデートもしくは修正ファイルを適用するよう呼びかけている。2015年6月29日およびそれ以降にEC-Orangeを導入したシステムについては対策済みとなっている。

元の記事を読む

編集部おすすめ