ThinkPHP noneCms のリモートコード実行の脆弱性（CVE-2018-20062）

何が起きた

ThinkPHP という仕組みを使った CMS の NoneCms で、filter パラメーターを細工して使うことにより、攻撃者が任意の PHP のコードを実行できる弱点が見つかりました。NVD の説明によると、問題は thinkphp/library/think/App.php の部分にあります。NVD の評価では、ネットワーク経由で、ログインなしに、被害者の操作も不要で悪用できます。この弱点は、実際の攻撃での悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明によると、NoneCms V1.3 が対象です。それ以外の影響を受けるバージョンは、このデータからは不明です。

何をすればいい

修正されたバージョンは、このデータからは不明です。CISA は、開発元の案内に従って更新するよう求めています。NoneCms V1.3 を使っている場合は、開発元の公式の案内を確認し、更新があれば適用してください。

やることチェックリスト

• NoneCms V1.3 を使っているか確認する
• 開発元から更新が出ていれば適用する
• サイトに thinkphp の App.php が含まれるか確認する

用語メモ

CMS

Web サイトの文章や画像を、専門知識がなくても管理・公開できるようにするソフトウェアです。

PHP

Web サイトを動かすためによく使われるプログラミング言語です。

パラメーター

URL などに付けてサーバーに渡す設定値や入力値のことです。