CVEノート

最近の脆弱性 › CVE-2020-17463

Fuel CMS Fuel CMS のSQLインジェクションの脆弱性（CVE-2020-17463）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2020-17463
製品Fuel CMS Fuel CMS
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2021-12-10
米国政府機関の対応期限2022-06-10
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-89

何が起きた

FUEL CMS の 1.4.7 で、/pages/items、/permissions/items、/navigation/items の col というパラメーターを通じて SQL インジェクションができる弱点が見つかりました。NVD の評価では、ネットワーク経由で、ログイン不要・利用者の操作なしで悪用できます。CISA によると実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が FUEL CMS のサイトを探す → 2. col パラメーターに細工した値を送る → 3. データベースへの命令が書き換えられる1攻撃者が FUEL CMS のサイトを探す2col パラメーターに細工した値を送る3データベースへの命令が書き換えられる攻撃の流れ: 1. 攻撃者が FUEL CMS のサイトを探す → 2. col パラメーターに細工した値を送る → 3. データベースへの命令が書き換えられる1攻撃者が FUEL CMS のサイトを探す2col パラメーターに細工した値を送る3データベースへの命令が書き換えられる

誰が影響を受ける

NVD の説明では FUEL CMS 1.4.7 が対象です。ほかのバージョンが影響を受けるかは、このデータからは不明です。

何をすればいい

CVE の記録は、開発元の 1.4.8 のリリースを参照先に挙げています。このリリースには、いくつかのセキュリティ修正を含むと書かれていますが、この弱点の修正かどうかは明記されていません。1.4.8 以降の版に更新し、開発元の公式の案内を確認してください。

やることチェックリスト

用語メモ

CMS
専門知識がなくても Web サイトの内容を作ったり更新したりできる管理用のソフトです。
パラメーター
Web ページを開くときなどに、サーバーへ一緒に送る値のことです。
SQL インジェクション
入力に細工をして、データベースへの命令を書き換え、情報を盗んだり変えたりする攻撃です。

元データ（英語・CISA KEV より）

Fuel CMS SQL Injection Vulnerability

概要

FUEL CMS 1.4.7 allows SQL Injection via the col parameter to /pages/items, /permissions/items, or /navigation/items.

推奨対応

Apply updates per vendor instructions.

公式情報