PrestaShopモジュール「Data Privacy Extended」にCSRF脆弱性 – バージョン3.7.8で修正済み

PrestaShop向けGDPR対応モジュール「Data Privacy Extended(データ保護法)」に、重大なCSRF(Cross-Site Request Forgery、クロスサイトリクエストフォージェリ)脆弱性が発見されました。この脆弱性を悪用すると、認証されていない攻撃者でも、ログイン中のPrestaShopユーザーを悪意のあるリンクへ誘導するだけで、そのユーザーのアカウントを削除できてしまう可能性があります。

脆弱性の概要

• プラグイン名: Data Privacy Extended(データ保護法)- GDPRモジュール
• 脆弱性の種類: 「アカウント削除」機能におけるCSRF(クロスサイトリクエストフォージェリ)
• 影響を受けるPrestaShopバージョン: v1.6.0.4 ~ v1.7.6.0
• 脆弱なモジュールバージョン: 3.7.8未満
• 修正済みバージョン: 3.7.8
• 脆弱性の報告日: 2019年6月20日
• 修正完了日: 2019年6月25日

発見の経緯

AstraがPrestaShopクライアント向けにセキュリティ監査を実施した際、Innovadeluxe社が開発した「Data Privacy Extended」モジュールに重大なCSRF脆弱性を発見しました。このモジュールは、アクティブインストール数が2,500件を超える人気プラグインです。

Astraは責任あるセキュリティ企業として、この脆弱性を開発元へ直ちに報告しました。Innovadeluxe社の開発チームも迅速に対応し、2019年6月25日に修正済みバージョン3.7.8をリリースしています。

脆弱性の詳細

Data Privacy Extendedモジュールは、PrestaShopサイトをGDPR(EU一般データ保護規則)に準拠させやすくするためのツールです。ニュースレター登録フォーム、お問い合わせフォーム、会員登録フォームなどでプライバシー同意を必須にする機能に加え、適切な請求書が存在しない注文がある場合に、顧客が自らアカウントを削除できる機能も備えています。

今回問題となったのは、「アカウント削除」用のURL/APIエンドポイントがCSRFに対して脆弱だった点です。これにより、攻撃者はログイン中のユーザーを悪意のあるURLやWebページへ誘導するだけで、被害者自身のPrestaShopアカウントを勝手に削除させることが可能でした。

技術的詳細

以下は、この脆弱性が実際にどのように悪用され得たかを示すコンセプト実証(PoC)です。

Webサイトを守るためにできること

CSRF攻撃は非常に危険です。攻撃者はクレジットカード情報、機密性の高いデータベース、管理者アカウントなど、Webサイトの重要情報を奪取しようとします。しかし、事前に適切な対策を行えば、こうした攻撃を防ぐことは十分可能です。以下に、実践的な防御策を紹介します。

1) 最新バージョンへのアップデート

プラグイン開発元は、修正済みバージョンをすでにPrestaShop Addonsで公開しています。まだ安全な最新版(3.7.8)へ移行していない場合は、今すぐアップデートしてください。また、CMS本体が古いバージョンのまま運用している場合は、そちらも併せて更新することを強くおすすめします。

2) ファイアウォールへの投資

ファイアウォールは、Webサイトに強固な保護層をもたらします。優れたWebアプリケーションファイアウォール(WAF)を導入すれば、セキュリティの向上とトラブルの減少につながり、高い投資対効果が期待できます。その一例がAstra Firewallです。

Astra Firewallは、CSRF、SQLi、XSS、悪質なボット、OWASP TOP 10をはじめとする100種類以上の脅威からWebサイトを保護します。さらに、Webサイトを継続的かつ包括的に監視するシステムも提供しており、常に安全な状態を維持できます。