October CMS の認証の不備の脆弱性（CVE-2021-32648）

何が起きた

Web サイトを作るための October CMS の october/system パッケージに、ログインの確かめ方の弱点が見つかりました。攻撃者がアカウントのパスワード再設定を求めたあと、細工した要求を送ると、そのアカウントに入れてしまうおそれがあります。October CMS によると、悪用には管理者のユーザー名を知っていて、パスワード再設定の画面に入れることが必要です。NVD の評価では離れた場所からログインなしで悪用でき、CISA によると実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

October CMS を使っている組織や人が対象です。CVE の記録によると、october/system の 1.0.471 以上 1.0.472 未満と、1.1.1 以上 1.1.5 未満が影響を受けます。

何をすればいい

October CMS によると、この問題は Build 472 と v1.1.5 で直っています。Build 472 以降、または v1.1.5 以降に更新されているか確認してください。すぐに更新できない場合は、公開されている修正（016a297 と 5bd1a28）を手で当てる方法が案内されています。公式の案内を確認してください。

やることチェックリスト

• October CMS を v1.1.5 以降に更新する
• 旧系統なら Build 472 以降に更新する
• すぐ更新できなければ修正を手で当てる

用語メモ

パスワード再設定

パスワードを忘れたときなどに、新しいパスワードを決め直すための仕組みです。

CMS 用語集で見る

専門知識がなくても Web サイトの内容を作ったり更新したりできるソフトウェアです。