公開日：2012/09/19 最終更新日：2012/09/19
JVNVU#459446
PayPal Website Payments Standard を使用している osCommerce Online Merchant に検証不備の脆弱性
PayPal Website Payments Standard アドオンを使用している osCommerce Online Merchant には、検証不備の脆弱性が存在します。
- osCommerce Online Merchant v2.3.4 より前のバージョン
- PayPal Website Payments Standard v1.1 より前のバージョン
PayPal Website Payments Standard アドオンを使用している osCommerce Online Merchant には、決済に関する情報の検証に不備が存在します。
不正な決済情報で、商品購入手続きを行われる可能性があります。
2012年9月19日現在、対策方法はありません。
開発者によると、本脆弱性を修正した osCommerce Online Merchant v2.3.4 および PayPal Website Payments Standard v1.1 を公開予定とのことです。
ワークアラウンドを実施する
以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。
- PayPal Website Payments Standard の設定で "Encrypted Web Payments" を有効にする
-
US-CERT Vulnerability Note VU#459446
osCommerce v2.3.1 with PayPal website payments standard module v1.0 design vulnerability
2012.09.19における脆弱性分析結果
| 評価尺度 | 攻撃成立条件 | 評価値 |
|---|---|---|
| 攻撃経路 | インターネット経由からの攻撃が可能 |
|
| 認証レベル | 匿名もしくは認証なしで攻撃が可能 |
|
| 攻撃成立に必要なユーザーの関与 | ユーザが何もしなくても脆弱性が攻撃される可能性がある |
|
| 攻撃の難易度 | ある程度の専門知識や運 (条件が揃う確率は高い) が必要 |
|
