phpBB

phpBBフォーラムソフトウェアで発見された、10年前に存在していた認証バイパス脆弱性により、攻撃者は管理者を含む任意のユーザーとしてログインすることが可能になります。

この脆弱性には識別子がなく、単一のHTTPリクエストで簡単に悪用可能です。影響を受けるのは、phpBBバージョン4.0.0-a2または3.3.16およびそれ以前のバージョンです。

アプリケーションセキュリティ企業Aikidoの研究者が6月2日にこのバグを発見し、開発者のHackerOne脆弱性開示プログラムを通じて報告しました。

image

phpBBは報告に即座に対応し、6月6日にリリースされたバージョン3.3.17でこの問題を修正しました。

Aikidoによると、この欠陥は10年前にphpBBのコードベースに導入されたもので、3.xおよび4.xのリリースブランチの全バージョン（3.3.16および4.0.0-a2まで）に影響を及ぼしています。 4.xリリースについては、現時点では修正プログラムが提供されていない。

phpBBはPHPベースの無料オープンソースWebフォーラムプラットフォームであり、2000年代から2010年代初頭にかけて絶大な人気を博しました。現在もなお、世界中の数千ものフォーラムで稼働しています。

Aikidoによると、このバグの悪用には特別な設定は不要であり、デフォルト設定のままでもトリガーされるという。

「この脆弱性はデフォルトの設定で悪用可能であり、特別な知識は不要です」とAikidoの報告には記されています。

「バージョン4.0.0-a2または3.3.16以前をご利用の場合は、侵害を防ぐために、それぞれ直ちにmaster（4.xの安定版はまだリリースされていません）および3.3.17にアップグレードしてください。」

管理者権限を取得すれば、攻撃者はフォーラムに保存されているすべてのプライベートメッセージを閲覧したり、コンテンツやユーザーアカウントを作成・変更・削除したり、スタッフになりすましたり、サイトを改ざんしたりすることが可能になります。

phpBBフォーラムのメンバーリストはデフォルトで公開されているため、標的の選定も容易です。

Aikidoは、管理パネルを保護する別のパスワードチェックがあるため、リモートコード実行（RCE）は不可能であると指摘している。

研究者らは、フォーラム管理者がセキュリティ更新を適用するための十分な時間を確保できるよう、現時点では技術的な詳細をすべて伏せており、大規模な phpBB ベースのフォーラムの管理者には直接連絡して警告も送っています。

注意すべき点として、OAuth リダイレクトハンドラが新しい場所に移されたため、このアップデートにより OAuth 認証を使用しているフォーラムが機能しなくなる可能性があるが、ほとんどの場合、これは簡単に修正できるはずである。

Aikidoは、今後のレポートでこの脆弱性の詳細をすべて公開することを約束しましたが、具体的な時期については明らかにしていません。