Journal OpenCartテーマ3.1.0におけるSQLエラーによる機密データ漏洩の脆弱性(CVE-2020-15478)- 今すぐアップデートを

人気のJournalテーマを使用しているOpenCartサイトの監査中に、特定のエンドポイントがSQLエラーを通じて機密データを漏洩させる脆弱性(機密情報漏えい)を持つことを確認しました。この問題を修正したJournalバージョン3.1.0は、2020年7月1日にリリースされています。

CVE ID: CVE-2020-15478

概要

25,000以上のウェブサイトで利用されているOpenCartのベストセラーテーマ「Journal」において、機密情報が露出し、SQLインジェクションなどのさらなる攻撃に対して潜在的に脆弱であることが判明しました。

「機密情報漏えい(Sensitive Data Exposure)」はOWASP Top 10に含まれる脆弱性の一種で、アプリケーションが機密データを適切に保護できていない場合に発生します。露出しうる情報には、パスワード、セッショントークン、クレジットカード情報、個人の健康データなどが含まれます。

脆弱性の詳細

脆弱性の技術的な詳細については、テーマユーザーが最新版へ更新するための十分な時間を確保できるよう、当初は7月15日に公開される予定でした。

技術的詳細の追記:

/catalog/controller/journal3/blog.phpでは、「page」パラメータが整数型としてキャストされる仕様になっています。この箇所に文字列が入力されると、SQLエラー、データベースの詳細情報、内部パスなどを含む詳細なエラーメッセージが表示されてしまいます。

こうした情報は、攻撃者が攻撃をより綿密に準備する際の手がかりとなり得ます。該当ファイルでは、$page = (int)Arr::get($this->request->get, 'page', 1);というコードによって$pageが整数型にキャストされていることが確認できます。

タイムライン

2020年6月11日:Journal開発チームへ脆弱性を報告
2020年7月1日:修正を含むバージョン3.1.0をリリース

推奨対策

• テーマを必ず最新バージョンへ更新してください。
• また、/catalog/controller/journal3/blog.php 内の $page = (int)Arr::get($this->request->get, 'page', 1); という行の後に、以下のコードを追加することでも暫定的な対処が可能です。

if ($page == 0)
	{
	    $page=1;
	}

参考資料

• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-15478
• https://docs.journal-theme.com/changelog
• https://nvd.nist.gov/vuln/detail/CVE-2020-15478