「PHP FormMail Generator」で生成したPHPコードに複数の脆弱性（JVN）

IPAおよびJPCERT/CCは、PHP Form Mail Makerが提供するWebサービス「PHP FormMail Generator」で生成したPHPコードに複数の脆弱性が存在すると「JVN」で発表した。

脆弱性と脅威セキュリティホール・脆弱性

2016.12.12 Mon 8:00

独立行政法人情報処理推進機構（IPA）および一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）は12月9日、PHP Form Mail Makerが提供する、PHPアプリやWordPressにより構築されたWebサイト上に簡易なWebフォームを埋め込むためのPHPコードを生成するWebサービス「PHP FormMail Generator」で生成したPHPコードに複数の脆弱性が存在すると「Japan Vulnerability Notes（JVN）」で発表した。CVSS v3による最大Base Scoreは9.8。

「2016年12月6日より前にPHP FormMail Generatorで生成した PHP コード」には、認証回避（CVE-2016-9482）、信頼できないデータのデシリアライズ（CVE-2016-9483）、ディレクトリトラバーサル（CVE-2016-9484）の脆弱性が存在する。この脆弱性が悪用されると、遠隔の第三者によって、Webフォームの管理パネルにアクセスされたり、サーバ上の任意のファイルを取得されたりする可能性がある。JVNでは、サービスではすでに脆弱性が修正されているため、PHPコードを修正するか、自身でコードを修正するよう呼びかけている。

《吉澤亨史（ Kouji Yoshizawa ）》