Trusted Design

CVE-2021-32648 の詳細

CVEの情報

説明:
octobercms in a CMS platform based on the Laravel PHP Framework. In affected versions of the october/system package an attacker can request an account password reset and then gain access to the account using a specially crafted request. The issue has been patched in Build 472 and v1.1.5.

CVE更新日: 2021-08-26 19:15:07.230000

CVSSバージョン: 3.1

CVSSスコア: 8.2

KEVの情報

KEV更新日: 2022-01-18

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.904180000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2021-32648は、October CMSにおける認証バイパスの脆弱性です。以下に、その詳細を解説します。

1. 脆弱性の概要

CVE-2021-32648は、Laravel PHPフレームワーク上に構築されたコンテンツ管理システム（CMS）であるOctober CMSに存在する認証バイパスの脆弱性です。攻撃者は、特別に細工されたリクエストを使用してアカウントのパスワードリセットを要求し、それによってアカウントへの不正アクセスを取得することができます。

この脆弱性の根本原因は、October CMS内の認証および認可ロジックにおける不適切な型の取り扱いと、厳密な比較演算子（===）ではなく緩い比較演算子（==）が使用されていることにあります。これにより、タイプジャグリング攻撃が可能となります。

1.1 影響

  • 正規の認証情報なしに、完全なアカウント乗っ取りが可能になります。
  • 攻撃者は、元のパスワードを知らなくてもターゲットアカウントにアクセスできます。
  • この脆弱性は実際に悪用されたことが確認されており、CISAの「既知の悪用された脆弱性（KEV）」カタログにも追加されています。
  • ウクライナ政府のWebサイトへの攻撃に悪用されたと考えられています。

1.2 深刻度

  • 深刻度は「重大」な認証バイパス脆弱性として分類されています。
  • CVSS 3.1スコアは8.2（High）です。
  • 弱点識別子（CWE）はCWE-287（不適切な認証）に分類されます。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性はOctober CMSプラットフォームに存在するため、特定の基盤となるOSバージョンに直接依存するものではありません。 影響を受けるのは以下のOctober CMSのバージョンです。

  • October CMS バージョン 1.0.472より前のバージョン。
  • october/system パッケージが影響を受けます。

2.2 影響を受ける設定

  • October CMSの認証チェックにおいて、厳密な比較演算子ではなく緩い比較演算子（==）を使用していることが問題です。
  • この脆弱性を悪用するには、攻撃者は管理者のユーザー名を知っており、パスワードリセットフォームにアクセスできる必要があります。

3. 影響を受けた時の兆候

この脆弱性が悪用された際の具体的なログやシステムレベルの兆候については、検索結果には詳細な記述がありません。ただし、最も直接的な影響は、October CMS上のユーザーアカウントが攻撃者によって不正に乗っ取られることです。もしアカウント乗っ取りが疑われる、または確認された場合は、それが主な兆候となります。

4. 推奨対策

4.1 本対策

  • ベンダーの指示に従ってアップデートを適用してください。
  • この問題は、October CMSのBuild 472およびv1.1.5でパッチが適用されています。
  • October CMSソフトウェアを常に最新の状態に保つことを推奨します。
  • サーバーのOSおよびシステムソフトウェアも最新の状態に保つことが一般的なセキュリティ対策として推奨されます。

4.2 暫定回避策（緩和策）

  • すぐにアップグレードできない場合は、特定のセキュリティパッチコミットである016a297bおよび5bd1a28を手動でインストールに適用することを検討してください。
  • 多要素認証プラグインを使用してください。
  • デフォルトのバックエンドURLを変更するか、バックエンドエリアへの公開アクセスをブロックしてください。
  • Roave/SecurityAdvisories Composerパッケージを組み込み、インストールされている依存関係に既知のセキュリティ脆弱性がないことを確認してください。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る