CERT Recently Published Vulnerability Notes 日本語 フォロー VU#385711: PrestaShop パフォーマンスデバッグ設定に PHP コードインジェクションの脆弱性があります PrestaShop のバックオフィスにある「パフォーマンス > デバッグモード」には、PHP コードインジェクションの脆弱性があります。認証された攻撃者は、細工されたクッキー設定値を通じて悪意のある PHP コードを注入できます。これらの値は実行可能な PHP 設定ファイルに書き込まれ、任意のコード実行につながります。この脆弱性は、ユーザー制御の debug_cookie_name および debug_cookie_value のエスケープ処理が不十分なことに起因します。悪用には、デバッグモードの変更権限を持つ認証済みのバックオフィスアカウントと、書き込み可能な設定ファイルが必要です。注入されたコードは、PHP プロセスの権限で実行され、root アクセスは必要ありません。これにより、秘密情報、顧客データへのアクセス、ファイル改ざん、ストア業務の中断が可能になる可能性があります。オペレーティングシステムのコマンド実行は、PHP の設定に依存します。PrestaShop バージョン 9.2.1 でこの問題は修正されています。管理者はバージョン 9.2.1 以降にアップグレードする必要があります。すぐにアップグレードできない場合は、パフォーマンスおよびデバッグモードの設定へのアクセスを信頼できる管理者に制限してください。さらに、バックオフィスへのネットワークアクセスを制限し、PHP プロセスが config/defines.inc.php および config/defines_custom.inc.php に書き込むことを防いでください。 VU#385711: PrestaShop Performance Debug Configuration Contains a PHP Code Injection Vulnerability kb.cert.org CERT Recently Published Vulnerability Notes 日本語 RSS thenote.app
debug_cookie_nameおよびdebug_cookie_valueのエスケープ処理が不十分なことに起因します。悪用には、デバッグモードの変更権限を持つ認証済みのバックオフィスアカウントと、書き込み可能な設定ファイルが必要です。注入されたコードは、PHP プロセスの権限で実行され、root アクセスは必要ありません。これにより、秘密情報、顧客データへのアクセス、ファイル改ざん、ストア業務の中断が可能になる可能性があります。オペレーティングシステムのコマンド実行は、PHP の設定に依存します。PrestaShop バージョン 9.2.1 でこの問題は修正されています。管理者はバージョン 9.2.1 以降にアップグレードする必要があります。すぐにアップグレードできない場合は、パフォーマンスおよびデバッグモードの設定へのアクセスを信頼できる管理者に制限してください。さらに、バックオフィスへのネットワークアクセスを制限し、PHP プロセスがconfig/defines.inc.phpおよびconfig/defines_custom.inc.phpに書き込むことを防いでください。