【CVE-2024-11070】PublicCMS 5.202406.dにクロスサイトスクリプティングの脆弱性が発見、リモート攻撃のリスクに対応急務

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

PublicCMS 5.202406.dにXSS脆弱性が発見
Tag Type Handler機能でname引数による攻撃が可能
リモートからの攻撃が実行可能で対策が必要

PublicCMS 5.202406.dのXSS脆弱性について

Sanluan社が開発するPublicCMS 5.202406.dにおいて、Tag Type Handlerコンポーネントの/admin/cmsTagType/save機能に深刻な脆弱性が発見された。この脆弱性は【CVE-2024-11070】として識別されており、リモートからの攻撃が可能なクロスサイトスクリプティング（XSS）の問題として分類されている。^[1]

この脆弱性はCWE-79（クロスサイトスクリプティング）およびCWE-94（コードインジェクション）に分類され、CVSS 4.0で中程度の深刻度（5.3）と評価されている。攻撃には特権レベルが必要となるものの、ユーザーインターフェースを介した操作は不要とされており、対策が急務となっている。

VulDBのGiteeアナライザーツールによって発見されたこの脆弱性は、既に公開されており攻撃に利用される可能性が指摘されている。SSVCの評価によると、自動化された攻撃は困難とされているものの、システムへの部分的な影響が予想されるため、早急な対応が推奨される。

PublicCMS 5.202406.dの脆弱性詳細

項目	詳細
CVE番号	CVE-2024-11070
影響を受けるバージョン	PublicCMS 5.202406.d
脆弱性の種類	クロスサイトスクリプティング（XSS）、コードインジェクション
CVSS 4.0スコア	5.3（中程度）
攻撃条件	リモートからの攻撃が可能、特権レベルが必要
発見者	VulDB Giteeアナライザーツール

クロスサイトスクリプティングについて

クロスサイトスクリプティング（XSS）とは、Webアプリケーションに対する代表的な攻撃手法の一つで、以下のような特徴を持つ脆弱性のことを指す。

Webサイトに悪意のあるスクリプトを埋め込む攻撃手法
ユーザーの個人情報やセッション情報の窃取が可能
Webサイトの改ざんやフィッシング詐欺に悪用される可能性

今回発見された【CVE-2024-11070】は、PublicCMSのTag Type Handler機能において、name引数の処理に問題があることが判明した。この脆弱性は既に公開されており、攻撃コードが利用可能な状態となっているため、早急なアップデートによる対策が推奨される。

PublicCMS 5.202406.dの脆弱性に関する考察

PublicCMSの脆弱性対策において評価できる点は、VulDBのGiteeアナライザーツールによる早期発見とCVE番号の迅速な割り当てにより、セキュリティコミュニティでの情報共有が円滑に行われたことだ。また、CVSS 4.0による客観的な深刻度評価により、優先度の判断が容易になったことも重要な進展である。

一方で、今後の課題としてはTag Type Handler機能における入力値のバリデーション強化が挙げられる。特に管理者権限を持つユーザーからの攻撃を想定した、より厳密な入力チェックの実装が必要となるだろう。また、セキュリティテストの範囲を拡大し、類似の脆弱性が他の機能に存在しないか、包括的な検証を行うことも重要だ。

将来的には、静的解析ツールの導入やセキュリティテストの自動化により、開発段階での脆弱性検出能力を向上させる必要がある。PublicCMSのセキュリティ対策は、オープンソースCMSの信頼性向上という観点からも重要な意味を持つだろう。