Adobe、Magentoの重大な脆弱性9件を修正 ― 数十万規模のECサイトに影響の可能性

Adobeは今週、Magentoプラットフォームにおける複数の高危険度の脆弱性を修正しました。これらの脆弱性により、数十万に及ぶWebサイトが任意のコード実行や顧客リスト改ざん攻撃の危険にさらされる可能性がありました。

Magentoは、WordPressに次いで2番目に人気のあるCMS(コンテンツ管理システム)であり、25万以上のアクティブなECサイトで利用されています。これは全オンラインストアの約12%に相当します。また、Magento.comによると、Magentoベースのサイトでは年間1,550億ドル以上の取引が処理されているとのことです。

発見されたMagentoの脆弱性と影響を受けるバージョン

セキュリティ情報[ASPB20-59]において、AdobeはMagento CommerceおよびMagento Open Sourceプラットフォームに影響する合計9件の脆弱性に対するパッチを公開しました。このうち8件は「クリティカル」または「重要」と評価されており、残り1件は「中程度」の脆弱性と分類されています。

2つのクリティカルな脆弱性は、「ファイルアップロード許可リストバイパス(CVE-2020-24407)」と「SQLインジェクション(CVE-2020-24400)」として追跡されています。これらを悪用すると、攻撃者が任意のコードを実行できるだけでなく、標的となったMagentoサイトのデータベースへの読み書きアクセスまで獲得される恐れがあります。ただし、両方の脆弱性の悪用には、攻撃者がすでに管理者権限を取得していることが前提条件となります。

一方、格納型XSS(CVE-2020-24408)は、悪用されると攻撃者がブラウザ上で任意のJavaScriptを実行できるようになるもので、こちらは事前認証(管理者権限)を必要としないため、より深刻な脅威となります。

Astra Security Magentoファイアウォールを利用しているMagentoサイトは、上記のすべての脆弱性による露出からすでに保護されています。

セキュリティ情報では、影響を受けるMagentoプラットフォームのバージョン一覧も併せて公開されています。

これらの脆弱性からMagentoサイトを守る方法

お使いのWebサイトやECストアが旧バージョンのMagentoで稼働している場合は、これらの脆弱性から保護するために、最新バージョンへ速やかにアップデートすることを強くお勧めします。各Magento製品の更新済み/最新バージョンは以下の通りです。

さらに、WebサイトやECストアにWebアプリケーションファイアウォール(WAF)を導入することも常に有効な対策です。WAFは、サイトファイル、プラグイン、拡張機能、テーマなどに潜む潜在的な脆弱性からサイトを保護してくれます。

Astra Security Magentoファイアウォールの仕組み

Astra SecurityのWAFは、悪意あるトラフィックや潜在的な脅威をフィルタリングし、Webサイト/ECストアにインテリジェントな保護を提供します。XSS、SQLi、CSRF、不正ボット、OWASP Top 10をはじめとする100種類以上のサイバー攻撃をブロックします。このインテリジェントなファイアウォールは、Webサイト上の訪問者パターンを検出し、悪意のある意図を持つハッカーを自動的にブロックします。