JavaScript を有効にしてご利用下さい.
EC-CUBE
®
製品
自社サーバーに無料インストール
ダウンロードして使う
すぐに始めてメンテナンスフリー
クラウドで使う
※新規受付停止中
開発者向けシステム仕様など
開発情報
機能
EC-CUBEの魅力をご紹介
選ばれる理由
充実した基本機能
機能一覧
それぞれの特徴をご紹介
決済サービス一覧
操作感や各機能をお試しください
デモサイト
導入事例
各種ご相談
サポート
サポート窓口をご案内
サポート
EC-CUBEに関する質問まとめ
よくあるご質問
セキュリティ
安心・安全にご利用頂くために
セキュリティ対策
脆弱性情報をご確認頂けます
脆弱性リスト
ニュース
EC-CUBEのニュース・リリース
ニュース
さまざまなセミナーを随時開催中
イベントセミナー情報
パートナーについて
EC-CUBEでビジネス展開
パートナー制度ご紹介
ご紹介資料や技術情報など
お役立ち資料
パートナー専用ページへ
ログイン
お問い合わせ
ストア
ニュース
EC-CUBE 3系/4系 及びのEC-CUBE公式 メルマガ管理プラグインの脆弱性に関して(2022/02/21)
EC-CUBE 3系・4系、およびメルマガ管理プラグインで新たに見つかりました脆弱性(危険度:低)の情報と、修正方法についてお知らせします。
該当バージョン・該当プラグインを利用してサイトを運営されている場合は、内容をご確認のうえご対応をお願いいたします。
「
EC-CUBEバージョン別 運用環境セキュリティチェックリスト
」につきましても、3系・4系のシートのNo.12をそれぞれ更新いたしました。該当バージョンでサイトを運営されている場合は、内容をご確認のうえご対応をお願いいたします。
なお、クラウド版「EC-CUBE」である
ec-cube.co
では、本件はすでに修正しておりますので安心してご利用ください。
1. HTTP Host ヘッダの処理に脆弱性
脆弱性の詳細
危険度: 低
不具合が存在するEC-CUBEのバージョン:
- 4.0.0~4.1.1
- 3.0.0~3.0.18-p3
EC-CUBEに対するリクエストの Hostヘッダを改変することで、正規でないURLが生成される脆弱性。
参考:
ご利用中のEC-CUBEのバージョンを確認する方法
修正について
4系では、環境変数 TRUSTED_HOSTS の設定を行ってください。なお、本日リリースしました最新版のEC-CUBE 4.1.2 では、TRUSTED_HOSTはインストール時に自動設定されるようになります。
3系は、修正用のファイルを公開しております。
詳しくは
脆弱性の詳細ページ
をご確認ください。
2. メルマガ管理プラグインにおける CSRFの脆弱性
脆弱性の詳細
危険度: 低
不具合が存在するメルマガ管理プラグインのバージョン:
-
4.0.0〜4.1.1 (EC-CUBE 4系対応)
-
1.0.0〜1.0.4 (EC-CUBE 3系対応)
メルマガ管理プラグインをインストールおよび有効化した状態において、管理画面にログインした状態の管理者権限を持つユーザが、細工されたページに誘導され特定のURLにアクセスした場合、意図せず送信履歴やメルマガテンプレートを削除される CSRF脆弱性。
修正について
3系・4系とも、メルマガ管理プラグインを最新版にバージョンアップしていただくことで、本件の脆弱性は修正されます。
詳しくは
脆弱性の詳細ページ
をご確認ください。
セキュリティに関する注意喚起
セキュリティ対策についてEC-CUBEを安全にご利用いただくためには、ご利用の環境にあわせて正しくセットアップされていること、既知の脆弱性などのパッチやバージョンアップがされていることが大切です。
以下特集ページにて、セキュリティ対策についてまとめております。
この機会にあらためてご確認をお願いいたします。
https://www.ec-cube.net/info/security/
EC-CUBEのセキュリティへの取り組み
EC-CUBEでは、安心して運営・開発をしていただけるよう、お使いの事業者、開発者を含めたコミュニティと共に、セキュリティ向上に努めています。今回脆弱性を発見したEC-CUBE本体への脆弱性診断の他にも、今後セキュリティへの取り組みとして以下を予定しています。
・VAddyやOWASP ZAPによるセキュリティテスト自動化と利用啓発
・カスタマイズ時やプラグイン制作時に利用できるセキュアコーディングガイドの作成
・インテグレートパートナーとセキュリティ対策の内容検討会、対策についての講習会の実施(2022/2月~3月) 等
これまで行ってきたEC-CUBEのセキュリティ向上への取り組みは
こちら
をご覧ください。
該当バージョン・該当プラグインを利用してサイトを運営されている場合は、内容をご確認のうえご対応をお願いいたします。
「EC-CUBEバージョン別 運用環境セキュリティチェックリスト」につきましても、3系・4系のシートのNo.12をそれぞれ更新いたしました。該当バージョンでサイトを運営されている場合は、内容をご確認のうえご対応をお願いいたします。
なお、クラウド版「EC-CUBE」であるec-cube.co では、本件はすでに修正しておりますので安心してご利用ください。
1. HTTP Host ヘッダの処理に脆弱性
脆弱性の詳細
危険度: 低
不具合が存在するEC-CUBEのバージョン:
- 4.0.0~4.1.1
- 3.0.0~3.0.18-p3
EC-CUBEに対するリクエストの Hostヘッダを改変することで、正規でないURLが生成される脆弱性。
参考: ご利用中のEC-CUBEのバージョンを確認する方法
修正について
4系では、環境変数 TRUSTED_HOSTS の設定を行ってください。なお、本日リリースしました最新版のEC-CUBE 4.1.2 では、TRUSTED_HOSTはインストール時に自動設定されるようになります。
3系は、修正用のファイルを公開しております。
詳しくは脆弱性の詳細ページをご確認ください。
2. メルマガ管理プラグインにおける CSRFの脆弱性
脆弱性の詳細
危険度: 低
不具合が存在するメルマガ管理プラグインのバージョン:
- 4.0.0〜4.1.1 (EC-CUBE 4系対応)
- 1.0.0〜1.0.4 (EC-CUBE 3系対応)
メルマガ管理プラグインをインストールおよび有効化した状態において、管理画面にログインした状態の管理者権限を持つユーザが、細工されたページに誘導され特定のURLにアクセスした場合、意図せず送信履歴やメルマガテンプレートを削除される CSRF脆弱性。
修正について
3系・4系とも、メルマガ管理プラグインを最新版にバージョンアップしていただくことで、本件の脆弱性は修正されます。
詳しくは脆弱性の詳細ページをご確認ください。
セキュリティに関する注意喚起
セキュリティ対策についてEC-CUBEを安全にご利用いただくためには、ご利用の環境にあわせて正しくセットアップされていること、既知の脆弱性などのパッチやバージョンアップがされていることが大切です。
以下特集ページにて、セキュリティ対策についてまとめております。
この機会にあらためてご確認をお願いいたします。
https://www.ec-cube.net/info/security/
EC-CUBEのセキュリティへの取り組み
EC-CUBEでは、安心して運営・開発をしていただけるよう、お使いの事業者、開発者を含めたコミュニティと共に、セキュリティ向上に努めています。今回脆弱性を発見したEC-CUBE本体への脆弱性診断の他にも、今後セキュリティへの取り組みとして以下を予定しています。
・VAddyやOWASP ZAPによるセキュリティテスト自動化と利用啓発
・カスタマイズ時やプラグイン制作時に利用できるセキュアコーディングガイドの作成
・インテグレートパートナーとセキュリティ対策の内容検討会、対策についての講習会の実施(2022/2月~3月) 等
これまで行ってきたEC-CUBEのセキュリティ向上への取り組みはこちらをご覧ください。