|
| 更新履歴 |
2018/11/13 10:30 告知ページの公開。
2018/11/27 16:00 「EC-CUBEのバージョンアップを行う場合」の項を追加。
|
|
| 本件の概要 修正方法 |
| EC-CUBE オープンリダイレクト脆弱性に関する修正のお知らせ |
いつもEC-CUBEをご利用いただきまして、誠にありがとうございます。
EC-CUBE 3.0.0～3.0.16に、1件の脆弱性があることが判明いたしました。
（本脆弱性における被害報告は現時点でございません）
脆弱性そのものは、EC-CUBEのバージョンアップ、または修正ファイルの反映により
すぐに解決するものです。
皆様にはお手数おかけし誠に申し訳ございません。
本件は、他の脆弱性との組み合わせでのみ発生するため、緊急度は「低」となりますが、
できるだけ速やかに対応をお願いします。
|
|
| 脆弱性の概要 |
|
1.オープンリダイレクト脆弱性
危険度： 低
不具合が存在するEC-CUBEのバージョン: 3.0.0～3.0.16
※EC-CUBE 3.0.3以前をご利用の方へ
EC-CUBE 3.0.3以前のEC-CUBEには、本件以外にも複数の脆弱性がございます。
EC-CUBEのバージョンを3.0.4以上にバージョンアップした上で、
本件の修正を反映してください。
|
|
※開発環境がある場合は、まず開発環境でお試しください。
皆様の環境に合わせて、以下修正方法よりいずれかを選択ください。
|
| 修正方法1：EC-CUBEのバージョンアップを行う場合 |
EC-CUBE 3.0.17以降の最新版にバージョンアップしていただくことで、本件の脆弱性は修正されます。
以下を参考に、EC-CUBEのバージョンアップをお願い致します。
http://doc.ec-cube.net/quickstart_update
|
|
| 修正方法2：修正用の差分ファイルを利用する場合 |
以下の手順に従って、修正ファイルの反映をお願いいたします。
-
-
修正ファイルのダウンロード
ご利用中のEC-CUBEのバージョンに該当する修正ファイルをダウンロードしてください。
[バージョンの確認方法]
EC-CUBE管理画面へログイン後、設定>システム設定>システム情報にて確認できます。
カスタマイズによってシステム情報が表示されない場合は、以下のファイルをご確認ください。
▼src/Eccube/Common/Constant.php(31行目付近)
< 例>-------------------------------------
/**
* EC-CUBE VERSION.
*/
const VERSION = '3.0.16';
-----------------------------------------
上記の例の場合、EC-CUBEのバジョンは3.0.16となります。
[修正ファイル]
EC-CUBE 3.0.4用 (md5:1cfdc6c0d3f54fa8bbde9f36c4c897ba)
EC-CUBE 3.0.5用 (md5:cd2266eca557ce817d76f3a369106fa8)
EC-CUBE 3.0.6用 (md5:22c91f4c60c5cc1e52885fe7c47e9e3e)
EC-CUBE 3.0.7用 (md5:1770b347ee76c33ac327fdc73bdcc8d8)
EC-CUBE 3.0.8用 (md5:0c30e41e514b73e49ff4bd15384815ee)
EC-CUBE 3.0.9用 (md5:101405c88d7b0e3cddc9137523c5b94e)
EC-CUBE 3.0.10用 (md5:9ee827d5ff3cf14672edf3baa380a1d4)
EC-CUBE 3.0.11用 (md5:12f57c87836cd25a2df5994420481179)
EC-CUBE 3.0.12用 (md5:b1fc155d524119145b29cf0602f8e7b9)
EC-CUBE 3.0.13用 (md5:d3b99d4aeb942fb71f2ed713022758c6)
EC-CUBE 3.0.14用 (md5:ece6c28918c8f3b28551d1a4ce06180b)
EC-CUBE 3.0.15用 (md5:1ac619e2df9966710cadc260a0c4894e)
EC-CUBE 3.0.16用 (md5:a0ee8dd6e3b28926fe356edddabd7bfb)
※EC-CUBE 3.0.3以前のEC-CUBEには、本件以外にも複数の脆弱性がございます。
※EC-CUBEのバージョンを3.0.4以上にバージョンアップした上で、本件の修正を反映してください。
-
-
EC-CUBEファイルのバックアップ
-
EC-CUBEファイル全体のバックアップを行ってください。
-
-
修正ファイルの反映
-
ダウンロードしたファイルを解凍し、EC-CUBEファイルに上書きをしてください。
※修正ファイルはディレクトリ構造になっているため、ルートディレクトリからそのまま上書きが可能です。
※EC-CUBE本体のカスタマイズをしている場合、修正箇所の差分をご確認のうえ反映をお願いします。
※開発環境がある場合は、開発環境での反映・動作確認を行った後に、本番環境への反映をおすすめします。
-
-
動作確認
-
フロント画面および管理画面のログイン画面にて、正常にログインができるかどうかを確認してください。
|
|
| 修正方法3：修正差分を確認して適宜反映する場合 |
EC-CUBE本体のソースコードをカスタマイズされている方向けです。
下記のコード差分情報を参照して頂き、必要な箇所に修正を反映してください。
1) 修正ファイルをダウンロードし、
src/Eccube/Security/Http/Authentication/EccubeAuthenticationFailureHandler.php
src/Eccube/Security/Http/Authentication/EccubeAuthenticationSuccessHandler.php
の2ファイルをコピーしてください。
2) src/Eccube/Application.phpを、以下の差分情報に従って必要箇所を修正してください
コード差分情報のダウンロードはこちら
|
|