概要
OpenMage LTS（Magento LTS）において、Pharデシリアライゼーションを通じたリモートコード実行の脆弱性が存在します。攻撃者は信頼されていないデータのデシリアライゼーション処理の不備を利用し、Pharストリームラッパーを介してサーバー上で任意のコードを実行することが可能です。低い特権レベルからの攻撃が可能であり、早急な修正適用が推奨されます。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 8.1（High） |
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 低 |
| 必要な特権 | 低 |
| ユーザー関与 | 不要 |
| CWE | CWE-502（信頼できないデータのデシリアライゼーション） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| openmage/magento-lts | OpenMage | 20.17.0未満 |
修正バージョンと回避策
- 修正: OpenMage LTS 20.17.0へアップデート
- 回避策: php.iniでphar.readonly=Onを設定しPharストリームラッパーの利用を制限する
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。