Laravel Laravel Framework の安全でないデシリアライズの脆弱性（CVE-2018-15133）

何が起きた

PHP 用の開発の枠組み Laravel Framework で、X-XSRF-TOKEN という値を元のデータに戻す処理（デシリアライズ）に弱点が見つかりました。悪用されると、離れた場所から任意の（攻撃者が好きに選べる）命令を実行されるおそれがあります。ただし攻撃者は、アプリの暗号化の鍵（APP_KEY）を知っている必要があります。NVD の評価では、ログイン不要の攻撃者がネットワーク経由で悪用でき、CISA の KEV にも載っています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Laravel Framework の 5.5.40 まで、および 5.6.x の 5.6.29 までを使っているアプリが対象です。Laravel によると、鍵に触れられた元従業員などが、その鍵を使って攻撃できる可能性があります。

何をすればいい

Laravel のセキュリティリリースである 5.6.30 以降に更新してください。5.6.30 ではクッキーの暗号化と変換の仕組みが変わるため、公式の案内（アップグレードガイド）を確認しながら進めてください。鍵が悪意のある人の手に渡った疑いがあれば、APP_KEY を新しい値に変更してください。

やることチェックリスト

• Laravel を 5.6.30 以降に更新する
• APP_KEY が漏れた疑いがあれば新しい値に変更する
• クッキーの変換の変更点を確かめてから更新する

用語メモ

デシリアライズ

保存や送信のために文字列などに変えたデータを、元のデータの形に戻す処理です。

APP_KEY

Laravel のアプリが、クッキーなどの暗号化に使う秘密の鍵です。

クッキー

Web サイトがブラウザーに保存させる小さなデータです。