概要
MyBBの「Like Plugin」バージョン3.0.0に、クロスサイトスクリプティング（XSS）の脆弱性が報告されています。この脆弱性は、攻撃者が投稿やスレッドの件名に悪意のあるスクリプトを挿入できることに起因します。具体的には、攻撃者が作成した投稿の件名にスクリプトタグを含めることができ、他のユーザーが攻撃者のプロフィールページを閲覧し、いいねされた投稿が表示される際に、そのスクリプトが実行される可能性があります。これは、表示時に件名が適切にサニタイズされていないことが原因とされています。
この脆弱性の深刻度は「MEDIUM」と評価されています。
影響範囲
- MyBB Like Plugin 3.0.0を使用している環境が影響を受ける可能性があります。
想定される影響
この脆弱性が悪用された場合、以下のような影響が想定されます。
- セッションハイジャック: 攻撃者がユーザーのセッションクッキーを盗み出し、そのユーザーとして不正な操作を行う可能性があります。
- 悪意のあるコンテンツの表示: ユーザーのブラウザ上で、フィッシングサイトへの誘導やマルウェアのダウンロードを促すコンテンツが表示される可能性があります。
- ウェブサイトの改ざん: ユーザーのブラウザ上で、ウェブサイトの表示内容が一時的に改ざんされる可能性があります。
- 情報漏洩: ユーザーのブラウザからアクセス可能な情報が、攻撃者に窃取される可能性があります。
攻撃成立条件・悪用状況
攻撃を成立させるためには、以下の条件が考えられます。
- 攻撃者は、脆弱なMyBB Like Pluginが導入されたサイト上で、悪意のあるスクリプトを含む投稿を作成する必要があります。
- 他のユーザーが、その攻撃者のプロフィールページを閲覧することで、埋め込まれたスクリプトが実行される可能性があります。
現時点では、この脆弱性の具体的な悪用状況に関する詳細な情報は報告されていません。
推奨対策
今すぐできる対策
- プラグインのアップデート: MyBB Like Pluginのバージョンを確認し、可能であれば最新バージョンへのアップデートを検討してください。ベンダーから修正パッチが提供されている場合は、速やかに適用することが最も効果的な対策です。
- MyBB本体および他のプラグインの更新: MyBB本体および導入している他のプラグインも、常に最新の状態に保つことを推奨します。
中長期的な対策
- Webアプリケーションファイアウォール（WAF）の導入: WAFを導入し、XSS攻撃を含む一般的なWeb攻撃からの保護を強化することを検討してください。
- 定期的なセキュリティ診断: 定期的なセキュリティ診断を実施し、潜在的な脆弱性を早期に発見・対処する体制を構築することが重要です。
一時的な緩和策
- MyBB Like Pluginの利用を一時的に停止するか、プロフィールページでの「いいね」された投稿の表示機能を制限することで、攻撃のリスクを軽減できる可能性があります。ただし、これはサイトの機能に影響を与えるため、影響範囲を十分に評価する必要があります。
- ユーザーに対し、不審なプロフィールや投稿を閲覧しないよう、注意喚起を行うことも有効です。
確認方法
- ご自身のMyBB環境に導入されているLike Pluginのバージョンが3.0.0であるかを確認してください。
- MyBBの管理画面やファイルシステムから、プラグインのバージョン情報を確認できる場合があります。
参考情報
- CVE-2018-25247 詳細情報: https://cvefeed.io/vuln/detail/CVE-2018-25247
- MyBB公式ウェブサイトやプラグイン開発元の情報を確認し、修正版の有無や詳細なガイダンスを入手してください。