シックス・アパート株式会社が提供する Movable Type の XMLRPC API には、OS コマンドインジェクション (CWE-78) の脆弱性が存在します。 Movable Type の XMLRPC API に細工したメッセージを POST メソッドで送信することで、任意の OS コマンドが実行可能となります。 【2021年11月10日 追記】 2021年11月10日現在、本脆弱性の実証コードの公開と、本脆弱性を悪用した攻撃を確認しています。 この脆弱性情報は、次の方が製品開発者に直接報告し、製品開発者との調整を経て、製品利用者への周知を目的に JVN での公表に至りました。 報告者: Étienne Gervais 氏、Charl-Alexandre Le Brun 氏、Chatwork株式会社

[アップデートする] 開発者が提供する情報をもとに、最新版へアップデートしてください。 開発者は、本脆弱性を修正した次のバージョンをリリースしています。 <ul><li>Movable Type 7 r.5005 (Movable Type 7系)</li><li>Movable Type 6.8.5 (Movable Type 6系)</li><li>Movable Type Advanced 7 r.5005 (Movable Type Advanced 7系)</li><li>Movable Type Advanced 6.8.5 (Movable Type Advanced 6系)</li><li>Movable Type Premium 1.49</li><li>Movable Type Premium Advanced 1.49</li></ul> [ワークアラウンドを実施する] 開発者によると、アップデートを適用できない場合には、Movable Type の設定ファイル mt-config.cgi に対して次の回避策を適用することで、本脆弱性の影響を軽減することが可能とのことです。 <ul><li>現在 XMLRPC API を利用していない、または今後 XMLRPC API を利用しない場合</li><ul><li>mt-xmlrpc.cgi へのアクセスを、信頼できる接続元のみに制限する</li><li>CGI/FCGI として利用している場合</li><ul><li>mt-xmlrpc.cgi を削除、またはパーミッションを削除する</li></ul><li>PSGI で利用している場合</li><ul><li>Movable Type (Advanced) 6.2 以降および Movable Type Premium (Advanced)</li><ul><li>mt-config.cgi に Movable Type 環境変数 RestrictedPSGIApp xmlrpc を設定する</li></ul><li>Movable Type (Advanced) 5.2 から Movable Type (Advanced) 6.1 まで</li><ul><li>mt-config.cgi で使用する Movable Type 環境変数 XMLRPCScript に十分に複雑な文字列を設定する</li></ul></ul></ul><li>継続して XMLRPC API を利用する場合</li><ul><li>mt-xmlrpc.cgi へのアクセスを、信頼できる接続元のみに制限する</li><li>PSGI で利用している場合</li><ul><li>mt-config.cgi で使用する Movable Type 環境変数 XMLRPCScript に十分に複雑な文字列を設定する</li></ul></ul></ul> 詳しくは、開発者が提供する情報をご確認ください。