Grav CMS の脆弱性 CVE-2024-34082 が FIX：PoC も提供されている

CVE-2024-34082: Grav CMS Vulnerability Opens Door to Account Takeovers

2024/05/19 SecurityOnline — 人気の OSS CMS (Content Management System) である Grav は、速度と柔軟性で人気を博している。その Grav に、アカウント乗っ取りや機密ファイルへの不正アクセスを引き起こす深刻な脆弱性が存在し、Web サイトを危険にさらしていることが判明した。

脆弱性 CVE-2024-34082

この脆弱性 CVE-2024-34082 (CVSS：8.5) は、Grav が依存している Twig テンプレート・エンジンに起因している。セキュリティ研究者 Riyush Ghimire は、ページ編集などを行う低レベル権限のユーザーが、この脆弱性を悪用することで、サーバ上の任意のファイルを読み取ることが可能なことを発見した。それにより流出する情報には、ハッシュ化されたパスワード／２要素認証のシークレット／パスワード・リセット・トークンなどを保存する、Grav のユーザー・アカウント・ファイルも含まれるという。

影響：アカウントの乗っ取りとデータの漏洩

この情報で武装した攻撃者は、以下のことを可能にする：

あらゆるアカウントの乗っ取り：管理者権限を含む Web サイト上の、あらゆるユーザー・アカウントを乗っ取り、完全な制御を奪っていく。

機密ファイルへのアクセス： サーバ上のあらゆるファイルの読み取りにより、機密データ／コンフィグの詳細／ソースコードなどが暴露される可能性が生じる。

PoC エクスプロイトが示す重大性
CVE-2024-34082

対象となるページに特定の Twig 構文を挿入するだけで、攻撃者が Grav 管理者の認証詳細を読み取ることが可能な状況を示す、PoC エクスプロイトを Ghimire は提供している。それにより強調されるのは、脆弱性 CVE-2024-34082 の深刻さと、Web サイト所有者が講じるべき対策の緊急性である。

影響を受けるバージョンとパッチ

すでに Grav のバージョン 1.7.46 で、すべての問題は修正されている。したがって、それ以前のバージョンを使用しているユーザーに強く推奨されるのは、直ちにアップデートを行うことである。

Grav ユーザーへの推奨事項
  • 1.7.46 へのアップグレード：Grav を、直ちに最新バージョンへと更新し、リスクを軽減する。
  • ユーザー権限の見直し： ユーザーに付与されている権限を慎重に評価し、信頼できる個人のみが機密機能にアクセスできるようにする。
  • 不審な活動の監視：ユーザー・アカウントに対する不正な変更などの、Web サイト上での異常なアクティビティに警戒する。

Grav について調べてみたら、日本語のコンテンツも多く、Wikipedia にも日本語版があるので、それなりに利用されているのだと推測されます。認証情報の侵害などが想定される脆弱性なので、ご利用のチームは、パッチ適用を、お急ぎください。