公開日:2012/09/19 最終更新日:2012/09/19

JVNVU#459446
PayPal Website Payments Standard を使用している osCommerce Online Merchant に検証不備の脆弱性

概要

PayPal Website Payments Standard アドオンを使用している osCommerce Online Merchant には、検証不備の脆弱性が存在します。

影響を受けるシステム

  • osCommerce Online Merchant v2.3.4 より前のバージョン
  • PayPal Website Payments Standard v1.1 より前のバージョン

詳細情報

PayPal Website Payments Standard アドオンを使用している osCommerce Online Merchant には、決済に関する情報の検証に不備が存在します。

想定される影響

不正な決済情報で、商品購入手続きを行われる可能性があります。

対策方法

2012年9月19日現在、対策方法はありません。

開発者によると、本脆弱性を修正した osCommerce Online Merchant v2.3.4 および PayPal Website Payments Standard v1.1 を公開予定とのことです。

ワークアラウンドを実施する
以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。

  • PayPal Website Payments Standard の設定で "Encrypted Web Payments" を有効にする

参考情報

  1. US-CERT Vulnerability Note VU#459446
    osCommerce v2.3.1 with PayPal website payments standard module v1.0 design vulnerability

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

2012.09.19における脆弱性分析結果

評価尺度 攻撃成立条件 評価値
攻撃経路 インターネット経由からの攻撃が可能
認証レベル 匿名もしくは認証なしで攻撃が可能
攻撃成立に必要なユーザーの関与 ユーザが何もしなくても脆弱性が攻撃される可能性がある
攻撃の難易度 ある程度の専門知識や運 (条件が揃う確率は高い) が必要
  • 中 - 高

各項目の詳しい説明

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2012-2991
JVN iPedia