Magentoセキュリティパッチ「SUPEE-9652」のインストールガイド|Zendライブラリに発見された重大な脆弱性への対策

近年、Magentoは決済セキュリティシステムに対する悪質な攻撃が相次いだことで、大きな注目を集めています。最近の攻撃事例では、クレジットカード情報を盗み出す「カードスキマー」がMagentoストアの決済セキュリティシステムを標的とし、重要なクレジットカード情報の窃取を試みました。こうした状況を受け、Magento社はシステムの脆弱性に対して警戒を強め、今後の攻撃を未然に防ぐ予防策として、定期的にセキュリティパッチをリリースしています。

最新のリリースでは、Magentoは「SUPEE-9652」というコードネームのセキュリティパッチを公開し、Zend Framework 1および2のメールコンポーネントに存在する重大な脆弱性に対処しました。この脆弱性は、深刻度スコア9.8という非常に高い評価が付けられており、極めて危険なものとされています。

SUPEE-9652パッチは、Enterprise Edition 1.14.0.0〜1.14.3.1およびCommunity Edition 1.5.0.11〜1.9.3.1向けに提供されています。このパッチは主に、メール機能の脆弱性を悪用したリモートコード実行の問題を修正するものです。攻撃者はこの脆弱性を突いて、Magentoシステム内で悪意のあるコードを実行し、ユーザーの権限を乗っ取る恐れがあります。

自社のサイトが脆弱かどうかを確認する方法

この脆弱性は「重大」と評価されていますが、これまでに実際に影響を受けたシステムはごく一部です。これは、本脆弱性の影響を受けるためには、インストール環境が以下の条件を満たしている必要があるためです。

• メール送信オプションとしてSendmailを選択・使用している場合:サーバーでメールトランスポートエージェントとしてSendmailを使用している場合、Magentoサイトはリモートコード実行攻撃を受ける危険性があります。

• デフォルト以外の設定を行っている場合:「Set Return Path(返信パスの設定)」が「Yes」に設定されている場合、Magentoストアは攻撃を受ける可能性が非常に高くなります。

被害から身を守るには?

新たにリリースされたMagentoセキュリティパッチ「SUPEE-9652」がその解決策となります。Magentoが新しいパッチを公開した際は、できるだけ早くインストールすることを強くお勧めします。あわせて、メール送信設定の見直しも行いましょう。Magentoストアから送信されるメールの「返信先(Reply to)」アドレスを管理するシステム設定画面へ移動してください。

• Magento 1の場合:[システム]→[設定]→[詳細]→[システム]→[メール送信設定]→[Set Return-Path]の順に移動します。
• Magento 2の場合:[ストア]→[設定]→[詳細]→[システム]→[メール送信設定]→[Set Return-Path]の順に移動します。

いずれの場合も、「Set Return-Path」の設定を「No」に変更してください。

Magentoストアのセキュリティを確保するためには、Magentoがリリースするすべてのパッチを、公開され次第すぐに適用することが重要です。予防措置の適用が遅れれば、攻撃者に脆弱性を悪用する機会を与えてしまうことになります。さらに、ストアの定期的な技術監査およびセキュリティ監査を実施することで、長期的な安全確保につながり、最新のセキュリティパッチ情報を常に把握できます。