【CVE-2024-10505】wuzhicms 4.1.0にコード実行の脆弱性、リモート攻撃のリスクが深刻に

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
wuzhicms 4.1.0のコード実行の脆弱性
wuzhicms 4.1.0の脆弱性詳細
コード注入について
wuzhicms 4.1.0の脆弱性に関する考察
参考サイト

記事の要約

wuzhicms 4.1.0にコード実行の脆弱性が発見
block.phpのadd/edit機能に影響するコード注入の脆弱性
ベンダーへの報告が行われたが対応なし

wuzhicms 4.1.0のコード実行の脆弱性

VulDBは2024年10月30日にwuzhicms 4.1.0のblock.phpファイルにおけるコード実行の脆弱性【CVE-2024-10505】を公開した。この脆弱性はwww/coreframe/app/content/admin/block.phpのadd/edit機能に影響を与えるコード注入の問題として報告されており、リモートからの攻撃が可能な深刻な脆弱性となっている。^[1]

この脆弱性はすでに公開されており、実際の攻撃に悪用される可能性が高い状態となっている。研究者は当初2つの異なる関数呼び出しに関する問題として報告を行ったが、ベンダーである北京五指互联科技有限公司への早期の通知にもかかわらず、適切な対応が行われていない状況だ。

CVSSスコアは複数のバージョンで評価されており、最新のCVSS 4.0では5.3（MEDIUM）、CVSS 3.1および3.0では6.3（MEDIUM）となっている。この脆弱性は認証された攻撃者によって悪用が可能であり、機密性や整合性、可用性に対して限定的な影響をもたらす可能性が指摘されている。

wuzhicms 4.1.0の脆弱性詳細

項目	詳細
脆弱性ID	CVE-2024-10505
影響を受けるバージョン	wuzhicms 4.1.0
脆弱性の種類	コード注入（CWE-94）
CVSS 4.0スコア	5.3（MEDIUM）
攻撃条件	リモートからの攻撃が可能、認証が必要
影響範囲	機密性、整合性、可用性に限定的な影響

コード注入について

コード注入とは、攻撃者が悪意のあるコードをアプリケーションに注入し、そのコードが実行環境で処理される脆弱性のことを指す。主な特徴として、以下のような点が挙げられる。

ユーザー入力が適切にバリデーションされずにコードとして実行される
攻撃者は権限昇格や情報漏洩などの悪意のある操作が可能
Webアプリケーションで特に発生しやすい脆弱性の一つ

wuzhicms 4.1.0の事例では、block.phpファイルのadd/edit機能においてユーザー入力が適切に検証されずにコードとして実行される可能性が指摘されている。CVSSスコアは中程度と評価されているものの、認証された攻撃者によって悪用される可能性があり、システムのセキュリティに深刻な影響を及ぼす可能性がある。

wuzhicms 4.1.0の脆弱性に関する考察

wuzhicms 4.1.0の脆弱性対応における最大の課題は、ベンダーの対応の遅れにある。研究者からの報告に対して適切な対応が行われていない状況は、オープンソースソフトウェアのセキュリティ管理体制の重要性を改めて浮き彫りにしている。コミュニティベースの開発においては、脆弱性報告への迅速な対応体制の構築が不可欠だろう。

この脆弱性は認証が必要とはいえ、リモートからの攻撃が可能であり、実際の攻撃に悪用されるリスクが高い状態が続いている。ベンダーには早急なセキュリティパッチの提供が求められるが、それまでの間ユーザーは代替のCMSへの移行や、アクセス制御の強化などの暫定的な対策を検討する必要があるだろう。

今後はセキュリティ研究者とベンダーの協力体制の強化が重要となる。脆弱性報告プログラムの整備や、パッチ提供までのタイムラインの明確化など、セキュリティインシデント対応プロセスの確立が求められている。オープンソースプロジェクトの持続可能性を高めるためにも、セキュリティガバナンスの強化は避けて通れない課題だ。