【概要】

シックス・アパート株式会社が提供する「Movable Type」は、コンテンツ管理システムです。「Movable Type」の XMLRPC
API には、OS コマンド・インジェクションの脆弱性が存在します。
遠隔の第三者によって、任意の OS コマンドを実行される可能性があります。

攻撃が行われた場合の影響が大きい問題であるため、できるだけ早急に、製品開発者が提供する情報をもとに、アップデートを実
行してください。

--- 2021 年 11 月 5 日 更新 ---

2021年11月5日現在、本脆弱性を悪用した攻撃が確認されているため、出来るだけ早急に、製品開発者が提供する情報をもと
に、対策を実施してください。

【本脆弱性の深刻度】

【対象】

【対策】

ワークアラウンドを実施する

　　　開発者によると、アップデートを適用できない場合には、Movable Type の設定ファイル mt-config.cgi に対して次の回避
　　　策を適用することで、本脆弱性の影響を軽減することが可能とのことです。



　　　　・現在 XMLRPC API を利用していない、または今後 XMLRPC API を利用しない場合

　　　　　　・mt-xmlrpc.cgi へのアクセスを、信頼できる接続元のみに制限する
　　　　　　・CGI/FCGI として利用している場合

　　　　　　　　　・mt-xmlrpc.cgi を削除、またはパーミッションを削除する

　　　　・PSGI で利用している場合

　　　　　　・Movable Type (Advanced) 6.2 以降および Movable Type Premium (Advanced)

　　　　　　　　　・mt-config.cgi に Movable Type 環境変数 RestrictedPSGIApp xmlrpc を設定する

　　　　　　・Movable Type (Advanced) 5.2 から Movable Type (Advanced) 6.1 まで

　　　　　　　　　・-mt-config.cgi で使用する Movable Type 環境変数 XMLRPCScript に十分に複雑な文字列を設定する


　　　　・継続して XMLRPC API を利用する場合

　　　　　　・mt-xmlrpc.cgi へのアクセスを、信頼できる接続元のみに制限する
　　　　　　・PSGI で利用している場合

　　　　　　　　　・mt-config.cgi で使用する Movable Type 環境変数 XMLRPCScript に十分に複雑な文字列を設定する

【参考情報】