PlaySMS PlaySMS のコードインジェクションの脆弱性（CVE-2020-8644）

何が起きた

SMS（携帯電話の短いメッセージ）を送受信するための Web ソフト PlaySMS で、外から受け取った文字列を正しく無害化しないため、画面のひな形（テンプレート）の処理に命令を紛れ込ませられる弱点が見つかりました。CISA によると、この弱点を使うと攻撃者がプログラムを動かせるおそれがあり、実際の悪用も確認されています。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者でも、利用者の操作なしに悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明によると、PlaySMS の 1.4.3 より前の版が対象です。PlaySMS を自分のサーバーに入れて使っている組織や個人が影響を受けます。

何をすればいい

PlaySMS の公式サイトは、以前の版には深刻な弱点があるとして、できるだけ早く 1.4.3 に更新するよう呼びかけています。使っている PlaySMS が 1.4.3 以降に更新されているか、公式の案内を確認してください。

やることチェックリスト

• PlaySMS の版が 1.4.3 より前でないか確認する
• PlaySMS を 1.4.3 以降に更新する
• 1.4.3 より前の PlaySMS を使い続けないようにする

用語メモ

SMS

携帯電話の番号あてに送る、短い文字のメッセージです。

テンプレート

Web ページを作るためのひな形で、決まった場所に文字などを差し込んで画面を作ります。