Adobe Commerce and Magento Open Source のXXEの脆弱性（CVE-2024-34102）

何が起きた

ネットショップを作るソフト Adobe Commerce と Magento Open Source に、XML の外部エンティティ（外のデータを読み込む仕組み）を正しく制限していない弱点（XXE）が見つかりました。攻撃者が外部エンティティを参照する細工した XML 文書を送ると、任意の（攻撃者が好きに選べる）プログラムを実行されるおそれがあります。攻撃者はネットワーク経由で、ログインも利用者の操作もなしに悪用できるとされています。Adobe も、Adobe Commerce の店舗を狙った限られた攻撃で実際に悪用されたことを確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Adobe Commerce と Magento Open Source でサイトを運営している人や組織が対象です。NVD の説明では、Adobe Commerce の 2.4.7、2.4.6-p5、2.4.5-p7、2.4.4-p8 とそれより前の版が影響を受けるとされています。一方、Adobe のサポート記事では、追加の修正（ホットフィックス）も含めて、2.4.7-p1、2.4.6-p6、2.4.5-p8、2.4.4-p9 とそれより前の版が対象とされています。

何をすればいい

Adobe のサポート記事（APSB24-40）では、使っている版に合った VULN-27015 の修正プログラム（または 2024年6月11日のセキュリティ更新）と、2024年7月17日のホットフィックスを当てたうえで、暗号化キーを作り直す（ローテーションする）ことが必要とされています。修正を当てるだけでは足りないとされています。本番だけでなく、テスト用などすべての環境で修正が済んでいるか確認してください。Adobe の公式の案内を確認し、対策ができない場合は使用の中止も検討してください。

やることチェックリスト

• VULN-27015 の修正とホットフィックスを当てる
• 修正を当てたあと暗号化キーを作り直す
• 本番以外の環境も修正済みか確かめる

用語メモ

XML

データを、タグという目印で囲んで表すための書き方の決まりです。

外部エンティティ

XML の中から、外のファイルや場所にあるデータを読み込むための仕組みです。

XXE

XML の外部エンティティを悪用し、見られてはいけないデータを読んだり、別の攻撃につなげたりする攻撃です。