セキュリティアドバイザリー

Magento2統合用の Fastlyオープンソース CDN モジュールにおける脆弱性

2017年9月12日

概要


Fastly はお客様レポートの調査中に、Magento2 に統合するための Fastly の CDN モジュールにおけるセキュリティ脆弱性 (CVE-2017-13761) を発見し、対処しました。これはパートナーのプロダクトとの統合を容易にするために Fastly がリリースしているオープンソースのコードです。1.2.26より前のすべてのバージョンへ影響が及ぶため、アップグレードを行うことを推奨します。


影響を受けるバージョンのモジュールをご使用中のお客様には、Fastly から直接ご連絡済みです。


影響


1.2.26より前のすべてのバージョンのモジュールに存在するこの脆弱性により、リダイレクトレスポンスが数秒間キャッシュされます。POST リクエストの代わりにリダイレクトに依存する、OAuth などのサードパーティ認証プラグインを使用している場合に、特定のケースでセッションリークが発生する可能性があります。
その結果、この脆弱性により、認証済みセッションからの情報が別の認証済みユーザーに漏洩する可能性があります。


解決方法と回避策


この脆弱性は、バージョン1.2.26の Fastly CDN モジュールで解決されました。それより古いバージョンのモジュールをダウンロードしてデプロイしているお客様は、1.2.26以降のバージョンへのアップグレードを推奨します。利用可能な最新の推奨バージョンは1.2.28です。


次のコマンドを実行すると、お客様のサイトへの影響を確認できます。


$ curl -H “Fastly-Debug:1” -v -o /dev/null https://www.example.com/| grep Fastly-Magento-VCL

< Fastly-Magento-VCL-Uploaded: 1.2.20

詳細情報


この脆弱性には、CVE ID CVE-2017-13761 が割り当てられています。


この問題は fastly-magento2 コードリポジトリで解決されました。最新バージョンは https://github.com/fastly/fastly-magento2/releases で入手できます。

セキュリティアドバイザリーの購読お申し込み

入力いただいた情報は米国 Fastly に送信され、当社のプライバシーポリシーに従って処理されます。内容をご確認いただき、同意の上「購読を申し込む」をクリックしてください。