Craft CMS のコードインジェクションの脆弱性（CVE-2024-56145）

何が起きた

Web サイトを作るソフト Craft CMS で、PHP の設定 register_argc_argv が有効になっていると、外部からプログラムを実行されてしまう弱点が見つかりました。実際の攻撃での悪用が確認されています。NVD の評価では、ネットワーク経由で、権限なしに、利用者の操作なしで悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Craft CMS を使っていて、php.ini で register_argc_argv が有効になっている人・組織が対象です。影響を受けるのは、3.0.0 以上 3.9.14 未満、4.0.0-RC1 以上 4.13.2 未満、5.0.0-RC1 以上 5.5.2 未満のバージョンです。

何をすればいい

Craft CMS を 3.9.14、4.13.2、5.5.2 のいずれか以降に更新されているか確認してください。すぐに更新できない場合は、php.ini で register_argc_argv を無効にすると、この問題を防げます。あわせて、Craft CMS の公式の案内を確認してください。

やることチェックリスト

• 3.9.14、4.13.2、5.5.2 以降に更新する
• php.ini の register_argc_argv を確かめる
• 更新できなければ register_argc_argv を無効にする

用語メモ

CMS 用語集で見る

専門知識がなくても Web サイトの記事やページを作って管理できるソフトウェアです。

php.ini

PHP というプログラミング言語の動き方を決める設定ファイルです。

register_argc_argv

PHP の設定の1つで、プログラムに渡された引数を変数として使えるようにするものです。