Laravel Ignition の脆弱性（CVE-2021-3129）

何が起きた

PHP のウェブアプリ用の仕組み Laravel などで使われる、エラー画面を見やすくする部品 Ignition に弱点が見つかりました。ファイルを読み書きする処理（file_get_contents() と file_put_contents()）の使い方が安全でないため、攻撃者が任意の（好きに選んだ）コードを実行できる可能性があります。攻撃者はネットワーク経由で、ログインも利用者の操作もなしに狙えます。CISA は悪用を確認しており、ランサムウェアの攻撃で使われたことも分かっています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

2.5.2 より前の Ignition を使っているサイトが対象です。特に、8.4.2 より前の Laravel でデバッグモードを有効にしているサイトで悪用できると NVD に書かれています。

何をすればいい

Ignition を 2.5.2 以降に、Laravel を 8.4.2 以降に更新されているか確認してください。NVD によると、この弱点はデバッグモードを有効にしたサイトで悪用できます。Laravel の公式ドキュメントでは、本番環境ではデバッグモードの設定（APP_DEBUG）を常に false にするよう書かれているので、公開しているサイトでデバッグモードが有効になっていないかも確認してください。詳しくは Laravel と Ignition の公式の案内を確認してください。

やることチェックリスト

• Ignition を 2.5.2 以降に更新する
• Laravel を 8.4.2 以降に更新する
• 公開サイトのデバッグモードを無効にする

用語メモ

Laravel

PHP という言語でウェブアプリを作るための、よく使われる仕組み（フレームワーク）です。

デバッグモード

開発中に不具合を調べやすくするため、詳しいエラー情報などを表示する設定です。

ランサムウェア

データを暗号化して使えなくし、元に戻す代わりに金銭を要求する悪質なプログラムです。