アルファサード株式会社が提供する PowerCMS の XMLRPC API には、OS コマンドインジェクション (CWE-78) の脆弱性が存在します。 この脆弱性情報は、製品利用者への周知を目的に、開発者が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。

XMLRPC API を利用していない場合 <ul><li>PowerCMS を CGI/FastCGI で利用している場合</li><ul><li>mt-xmlrpc.cgi をサーバから削除、またはパーミッションを削除する</li><ul><li>開発者は PowerCMS の環境変数 XMLRPCScript を設定している場合、mt-xmlrpc.cgi をリネームして利用している可能性があるため、リネーム後のファイルを見つけ、本対策を実施するよう呼び掛けています</li></ul></ul><li>PowerCMS を PSGI で利用している場合</li><ul><li>環境変数 RestrictedPSGIApp xmlrpc を設定し、XMLRPC アプリケーションを禁止する</li></ul></ul> XMLRPC API を利用している場合 [アップグレードし、修正ファイルを適用する] 開発者が提供する情報をもとに PowerCMS を最新版へアップグレードし、修正ファイルを適用してください。 [ワークアラウンドを実施する] 開発者によると、アップグレードと修正ファイルの適用ができない場合、次の回避策を適用することで本脆弱性の影響を軽減することが可能とのことです。 <ul><li>mt-xmlrpc.cgi に対し、アクセス制限を実施する (信頼できる接続元のみに制限、または HTTP 認証を設定するなど)</li></ul>