EC-CUBE 4.0.6 におけるアクセス制限不備の脆弱性

更新履歴
2021/06/29 11:00
初版公開

EC-CUBE 4.0.6 における脆弱性のお知らせ

2021/06/22に公開した「EC-CUBE4.0におけるクロスサイトスクリプティングの脆弱性(JVN#95292458)」について、修正の不備による脆弱性があることが判明いたしました。以下のいずれかの方法により、ご対応をお願いいたします。

皆様にはお手数おかけし誠に申し訳ございません。
至急ご対応をお願いいたします。

脆弱性の概要

アクセス制限不備


危険度:
高

不具合が存在するEC-CUBEのバージョン:
4.0.6

※ 2021年6月29日 11:00 までに「EC-CUBE4.0におけるクロスサイトスクリプティングの脆弱性(JVN#95292458)」の修正を適用していた場合、本脆弱性の対象となります。

参照：EC-CUBE4.0におけるクロスサイトスクリプティングの脆弱性(JVN#95292458)
https://www.ec-cube.net/info/weakness/20210610/index40.php

修正方法1: 修正用の差分ファイルを利用する場合

開発環境がある場合は、まず開発環境でお試しください。
以下の手順に従って、修正ファイルの反映をお願いいたします。

  1. 修正ファイルのダウンロード

    修正ファイルをダウンロードしてください。

    修正ファイルダウンロード (4.0.6用) (SHA256:e408f5b4ac8dd8eb1a5efa567480bd87d8be1fc509b79836afed00ccf7d0c804)

    ダウンロードし、解凍していただきますと、以下の修正ファイルがあります。

    • .htaccess
  2. EC-CUBEファイルのバックアップ

    あらかじめEC-CUBEファイル全体のバックアップを行ってください。

    ※作業中はメンテナンスモードに切り替えることをおすすめします。

  3. 修正ファイルの反映

    以下のファイルを上書き更新してください。

    上書きするファイル

    • .htaccess
    ※EC-CUBE本体のカスタマイズをしている場合、修正箇所の差分をご確認のうえ反映をお願いします。
    ※開発環境がある場合は、開発環境での反映・動作確認を行った後に、本番環境への反映をおすすめします。

  4. 動作確認

    管理画面にログインし、基本操作が正常に行えることをご確認ください。

    ※メンテナンスモードにされていた場合は解除をお願いします。

修正方法2: 修正差分を確認して適宜反映する場合

EC-CUBE本体のソースコードをカスタマイズされている方向けです。
下記のコード差分情報を参照して頂き、必要な箇所に修正を反映してください。

  1. 修正差分の反映
    対象ファイル
    .htaccess

    3〜18行目
    変更前 
    <FilesMatch "^composer|^COPYING|^\.env|^\.maintenance|^Procfile|^app\.json|^gulpfile\.js|^package\.json|^package-lock\.json|web\.config|^Dockerfile|^\.editorconfig|\.(ini|lock|dist|git|sh|bak|swp|env|twig|yml|yaml|dockerignore|sample)$">
    order allow,deny
    deny from all
</FilesMatch>

<Files ~ "/index.php">
    order deny,allow
    allow from all
</Files>

<FilesMatch "(?<!\.gif|\.png|\.jpg|\.jpeg|\.css|\.ico|\.js|\.svg|\.map)$">
    SetEnvIf Request_URI "/vendor/" deny_dir
    Order allow,deny
    Deny from env=deny_dir
    Allow from all
</FilesMatch>
    変更後 
    <Files ~ "/index.php">
    order deny,allow
    allow from all
</Files>

<FilesMatch "(?<!\.gif|\.png|\.jpg|\.jpeg|\.css|\.ico|\.js|\.svg|\.map)$">
    SetEnvIf Request_URI "/vendor/" deny_dir
    Order allow,deny
    Deny from env=deny_dir
    Allow from all
</FilesMatch>

<FilesMatch "^composer|^COPYING|^\.env|^\.maintenance|^Procfile|^app\.json|^gulpfile\.js|^package\.json|^package-lock\.json|web\.config|^Dockerfile|^\.editorconfig|\.(ini|lock|dist|git|sh|bak|swp|env|twig|yml|yaml|dockerignore|sample)$">
    order allow,deny
    deny from all
</FilesMatch>

修正方法3: EC-CUBEのバージョンアップを行う場合

EC-CUBE 4.0.6-p1以降の最新版にバージョンアップしていただくことで、本件の脆弱性は修正されます。


公式サイトのダウンロードページから最新バージョンをダウンロードしてご利用ください。

開発ドキュメント「バージョンアップ」の手順を参考に、EC-CUBEのバージョンアップをお願い致します。

問い合わせ先

本脆弱性に関するお問合せ：

EC-CUBE 運営チーム
MAIL: support@ec-cube.net