Joomla の脆弱性 CVE-2023-40626 が FIX：直ちにアップデートを！

Safeguard Your Joomla Site: Patch CVE-2023-40626 Vulnerability

2023/12/03 SecurityOnline — Joomla! Project は、Joomla 5.0.1／4.4.1 をリリースし、攻撃者が機密性の高い環境変数を公開できる可能性のある、深刻なセキュリティ脆弱性 CVE-2023-40626 に対処した。この脆弱性が影響するのは、Joomla CMS バージョン 1.6.0〜4.4.0／5.0.0 である。


脆弱性の詳細

この脆弱性は、環境変数を開示するために操作される、言語ファイル解析プロセスの問題に起因する。多くの場合において、環境変数に格納されるのは、データベース認証情報／ファイルパス／API キーなどの機密情報である。これらの変数を公開され、攻撃者が Joomla のインストールに不正アクセスすると、機密データが危険にさらされる可能性が生じる。

影響を受けるバージョン

この脆弱性 CVE-2023-40626 は、Joomla CMS 1.6.0〜4.4.0／5.0.0 に影響を及ぼす。これらのバージョンを実行している場合は、直ちに最新のパッチ・リリースへのアップグレードが推奨される。

対処法

この脆弱性に対処するためには、パッチが適用されたリリースである、いずれかにアップグレードする必要がある：

  • Joomla 3.10.14-elts
  • Joomla 4.4.1
  • Joomla 5.0.1

最新のパッチが適用されたリリースにアップグレードすることは、環境変数の公開の脆弱性を悪用する可能性のある攻撃から、Joomla のインストールを保護するために不可欠である。Ezoic

その他の推奨事項

さらに、Joomla インストールのセキュリティを強化するためには、以下のベスト・プラクティスが推奨される：

  • Joomla を常に更新する：Joomla! Project のセキュリティ・アップデートのリリースを定期的にチェックし、インストールする。
  • 強力なパスワードを使用する：管理者アカウントを含む、すべての Joomla アカウントに、強力でユニークなパスワードを採用する。
  • 二要素認証 (2FA) を有効にする：2FA を有効にして、不正アクセスに対するセキュリティ層を追加する。
  • 管理ページへのアクセスを制限する：Joomla の管理ページへのアクセスを、許可されたユーザのみに制限する。

これらの推奨事項に従うことで、Joomla ユーザーは、CVE-2023-40626 のような脆弱性により、インストールが侵害されるリスクを大幅に低減できる。

このブログに Joomla が登場するのは初めてのことです。それだけ、安定していたのかと思い、お隣のキュレーション・チームに聞いてみたら、今年に入ってからも何件かの脆弱性が出ていたとのことでした。しかし、それほど深刻なものはなく、CVSS 値が高いものもなかったようです。そして、今回の脆弱性 CVE-2023-40626 が取り上げられたのは、環境変数が絡んでいたからだと思われます。