JVN#75444925
EC-CUBE 2系における複数の脆弱性

株式会社イーシーキューブが提供する EC-CUBE 2系には、複数の脆弱性が存在します。

CVE-2021-20841

• EC-CUBE 2.11.2 から 2.17.1 まで (EC-CUBE 2系)

• EC-CUBE 2.11.0 から 2.17.1 まで (EC-CUBE 2系)

株式会社イーシーキューブが提供する EC-CUBE 2系には、次の複数の脆弱性が存在します。

• 管理画面におけるアクセス制限不備 (CWE-284) - CVE-2021-20841

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N	基本値: 4.3
  CVSS v2	AV:N/AC:L/Au:S/C:N/I:P/A:N	基本値: 4.0

• 管理画面におけるクロスサイトリクエストフォージェリ (CWE-352) - CVE-2021-20842

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N	基本値: 6.5
  CVSS v2	AV:N/AC:H/Au:N/C:N/I:P/A:N	基本値: 2.6

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 当該製品にログイン可能なユーザによって、本来操作権限のないシステム設定を変更される - CVE-2021-20841
• 当該製品にログインした状態の管理者権限を持つユーザが、細工されたページにアクセスした場合、管理ユーザを削除される - CVE-2021-20842

アップデートする
開発者が提供する情報をもとにアップデートしてください。
開発者は、本脆弱性を修正した EC-CUBE 2.17.2 をリリースしています。

パッチを適用する
開発者が提供する情報をもとに差分ファイル (Hotfix パッチ) を適用してください。

ワークアラウンドを実施する
CVE-2021-20841
以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。

• mtb_permission の値を管理画面 URL と同じディレクトリ名に変更する