EC-CUBE4.0系で利用している、symfony/http-foundationに脆弱性が報告されました。
(本脆弱性における被害報告は現時点でございません)

概要:Invalid HTTP method overrides allow possible XSS or other attacks in Symfony
URL:https://github.com/advisories/GHSA-x92h-wmg2-6hp7

脆弱性そのものは、EC-CUBEのバージョンアップ、またはライブラリのアップデートにより
すぐに解決するものです。

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
更新履歴
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
2020/01/22 17:00 初版公開
2020/01/23 17:00 修正方法3を追記

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
脆弱性の概要 
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

概要:Invalid HTTP method overrides allow possible XSS or other attacks in Symfony
URL:https://github.com/advisories/GHSA-x92h-wmg2-6hp7

危険度: 中
不具合が存在するEC-CUBEのバージョン: 4.0.0〜4.0.2

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
修正方法1:EC-CUBEのバージョンアップを行う場合 
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
EC-CUBE 4.0.3以降の最新版にバージョンアップしていただくことで、本件の脆弱性は修正されます。

以下を参考に、EC-CUBEのバージョンアップをお願い致します。

https://doc4.ec-cube.net/quickstart_update

過去のEC-CUBEは以下のURLよりダウンロードいただくことが可能です。
http://downloads.ec-cube.net/src/eccube-4.0.xx.zip

※xxの箇所を希望のバージョン番号に変更してアクセスしてください。

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
修正方法2:composerコマンドにて、symfony/http-foundationをアップデート 
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

以下のコマンドを実行し、symfony/http-foundationを新してください。

$ composer update symfony/http-foundation

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
修正方法3:symfony/http-foundationのファイルを上書き 
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

vendor/symfony/http-foundation/Request.php を以下のURLからダウンロードします。
https://raw.githubusercontent.com/symfony/symfony/3.4/src/Symfony/Component/HttpFoundation/Request.php

[EC-CUBEの設置先]/vendor/symfony/http-foundation/Request.php に上書きをしてください。

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
動作確認
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

フロント画面および管理画面にアクセスし、正常に表示されるかどうかを確認してください。

また、以下のコマンドを実行し、symfony/http-foundationが更新されていることを確認してください。
$ composer show | grep symfony/http-foundation

※以下のように表示されることを確認してください。
symfony/http-foundation v3.4.37 Symfony HttpFoundation Component

※修正方法3で対応した場合は、composerによる確認手順は不要です。

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
問い合わせ先 
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

EC-CUBE 運営チーム 足立
MAIL:[email protected]