【CVE-2024-10845】1000 Projects Bookstore Management System1.0にSQLインジェクションの脆弱性、リモート攻撃のリスクが深刻化

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

1000 Projects Bookstore Management Systemにクリティカルな脆弱性
book_detail.phpファイルでSQLインジェクションの脆弱性を確認
リモートから攻撃可能で公開済みのエクスプロイトが存在

1000 Projects Bookstore Management System 1.0のSQLインジェクション脆弱性

2024年11月5日、1000 Projects Bookstore Management System 1.0のbook_detail.phpファイルにおいて、SQLインジェクションの脆弱性が発見された。この脆弱性は【CVE-2024-10845】として識別されており、VulDBによって重大な脆弱性として分類され、リモートからの攻撃が可能であることが報告されている。^[1]

CVSSスコアは最新のバージョン4.0で6.9（MEDIUM）、バージョン3.1および3.0で7.3（HIGH）を記録している。この脆弱性は攻撃者が特権なしでリモートから攻撃可能であり、機密性や整合性、可用性に影響を与える可能性がある。

脆弱性の詳細については、book_detail.phpファイルのidパラメータを操作することでSQLインジェクションが可能となることが判明した。エクスプロイトコードはすでに公開されており、攻撃者によって悪用される可能性が高い状態である。

脆弱性の詳細情報まとめ

項目	詳細
影響を受けるバージョン	1000 Projects Bookstore Management System 1.0
脆弱性の種類	SQLインジェクション（CWE-89）
CVSSスコア（v4.0）	6.9（MEDIUM）
CVSSスコア（v3.1/3.0）	7.3（HIGH）
攻撃条件	リモートから可能、認証不要
影響範囲	機密性・整合性・可用性に影響

SQLインジェクションについて

SQLインジェクションとは、Webアプリケーションのデータベース操作において、外部から悪意のあるSQLコードを注入される脆弱性のことを指す。主な特徴として、以下のような点が挙げられる。

入力値の検証不足により発生する脆弱性
データベースの不正アクセスや改ざんが可能
機密情報の漏洩やシステム破壊のリスクがある

今回の脆弱性では、book_detail.phpファイルのidパラメータに対する入力値の検証が不十分であることが原因となっている。CVSSスコアが示すように、この脆弱性は認証なしでリモートから攻撃可能であり、システムのセキュリティに重大な影響を及ぼす可能性がある。

1000 Projects Bookstore Management Systemの脆弱性に関する考察

1000 Projects Bookstore Management Systemの脆弱性は、基本的なセキュリティ対策の欠如を浮き彫りにしている。SQLインジェクション対策はWebアプリケーション開発における基本的なセキュリティ要件であり、プリペアドステートメントやパラメータ化クエリの使用によって防ぐことが可能だ。

今後は同様の脆弱性を防ぐため、開発段階でのセキュリティレビューとコードスキャンの強化が必要となるだろう。特にオープンソースのプロジェクトでは、コミュニティによるセキュリティレビューの仕組みを確立し、脆弱性の早期発見と修正が重要となる。

また、このような基本的な脆弱性が発見されたことは、他にも未発見の脆弱性が存在する可能性を示唆している。開発チームは包括的なセキュリティ監査を実施し、システム全体のセキュリティレベルを向上させる必要がある。