セキュリティアドバイザリー

Magento2 に統合用の Fastly のオープンソース CDN モジュールにおける脆弱性

2017年9月12日

概要

Fastly はお客様レポート調査中に、Magento2 統合するための Fastly の CDN モジュールにおけるセキュリティ脆弱性 (CVE-2017-13761) 発見し、対処しました。これはパートナーのプロダクトとの統合を容易にするために Fastly リリースしているオープンソースのコードです1.2.26より前のすべてのバージョンへ影響及ぶため、アップグレードを行うことを推奨します。

影響を受けるバージョンのモジュールを使用中の客様には、Fastly から直接ご連絡済みです。

影響

1.2.26より前のすべてのバージョンのモジュールに存在するこの脆弱性により、リダイレクトレスポンスが数秒間キャッシュされます。POST リクエストの代わりにリダイレクトに依存する、OAuth などのサードパーティ認証プラグインを使用している場合に、特定のケースでセッションリークが発生する可能性があります。 その結果、この脆弱性により、認証済みセッションからの情報が別の認証済みユーザーに漏洩する可能性があります。

解決方法と回避策

この脆弱性は、バージョン1.2.26の Fastly CDN モジュールで解決されました。それより古いバージョンのモジュールをダウンロードしてデプロイしているお客様は、1.2.26以降のバージョンへのアップグレードを推奨します。利用可能な最新の推奨バージョンは1.2.28です。

次のコマンドを実行すると、客様のサイトへの影響を確認できます。

$ curl -H “Fastly-Debug:1” -v -o /dev/null https://www.example.com/| grep Fastly-Magento-VCL
 
< Fastly-Magento-VCL-Uploaded: 1.2.20

詳細情報

この脆弱性には、CVE ID CVE-2017-13761 割り当てられています。

この問題は fastly-magento2 コードリポジトリ解決されました。最新バージョンは https://github.com/fastly/fastly-magento2/releases 入手できます。

セキュリティアドバイザリーの購読お申し込み

入力いただいた情報は米国 Fastly 送信され、当社のプライバシーポリシー従って処理されます。内容を確認いただき、同意の「購読を申し込む」をクリックしてください。