脆弱性重大・修正版あり続報

PHPの重大な欠陥、VPN機器の管理画面も確認を　PAN-OSで悪用を観測

IPAは11月2日、VPN機器などでもPHPを使うと注意を呼びかけました。Palo Alto Networksは、インターネットに公開された管理画面を狙う攻撃を確認しています。

対象となる人

PHPを使うサイトの保守担当者と、VPN・ファイアウォールを管理する担当者。機器はメーカーの対象製品・バージョンと照合してください。7 8

公式の案内

対象なら修正版を適用し、侵害の痕跡を調べてください。PAN-OSの管理画面を外部に公開している場合は、信頼できる内部IPアドレスだけに接続を制限してください。7 8 3

何が公表された？
認証なしでサーバーを不正操作されるおそれがある、重大な脆弱性2件。1
修正版の境界
修正版の境界は8.2.35／8.3.36／8.4.27／8.5.12。OS・製品提供元の修正パッケージも確認。2
機器の管理画面への攻撃を観測
Palo Alto Networksは、インターネットからアクセスできるPAN-OSの管理画面への悪用を確認。GlobalProtectのVPNポータルとゲートウェイは対象外です。8

何が公表された？: 開発元が「Critical（重大）」と評価した2件の脆弱性。認証なしで、PHPの実行権限の範囲でサーバーを不正操作されるおそれがあります。1
修正版の境界: 修正版の境界は8.2.35／8.3.36／8.4.27／8.5.12。OS・製品提供元の修正パッケージも確認。2
すぐに更新できない場合: 古いCMSなどがあり更新に時間がかかる場合、IPAは暫定対策や外部からのアクセス制限を検討するよう案内しています。PHP 8.1以前はサポートが終了しています。7
VPN機器を使っている場合: IPAは11月2日、VPN機器などのWeb画面にもPHPが使われると追記しました。PAN-OSの対象は管理用の画面・APIです。メーカーは管理接続を信頼できる内部IPアドレスに限定し、機器の系列に合う修正版へ更新するよう案内しています。7 8
PHPを使う例: WordPress・EC-CUBE・LaravelもPHPを使用します。影響はPHPのバージョンや実行環境で異なり、各製品固有の欠陥を示すものではありません。4 5 6

上記はJVN掲載範囲です。旧系列の対応はOS・製品の提供元への確認が必要です。