Movable Type及びPowerCMSのXMLRPC APIにおける脆弱性を標的としたアクセスを観測

警察庁は11月29日、「Movable Type及びPowerCMSのXMLRPC APIにおける脆弱性（CVE-2021-20837及びCVE-2021-20850）を標的とした攻撃の観測について」とする注意喚起を「@police」において公開した。

脆弱性と脅威

2021.12.1 Wed 8:00

　警察庁は11月29日、「Movable Type及びPowerCMSのXMLRPC APIにおける脆弱性（CVE-2021-20837及びCVE-2021-20850）を標的とした攻撃の観測について」とする注意喚起を「@police」において公開した。同庁のインターネット定点観測システムでは、2021年11月18日以降、当該脆弱性のあるサーバの公開ディレクトリ上に不審なファイルを配置する攻撃を観測している。

　シックス・アパート株式会社が提供するCMSプラットフォーム「Movable Type」、アルファサード株式会社が提供するCMSプラットフォーム「PowerCMS」は、XMLRPC APIにおける脆弱性（CVE-2021-20837及びCVE-2021-20850）に関する情報がそれぞれ公表されている。

　警察庁では、脆弱性の影響を受けるMovable Type及びPowerCMSの利用者に対し、修正プログラムを適用するよう注意を呼びかけている。なお、脆弱性のあるバージョンは以下の通り。

Movable Type 7 r.5002及びそれ以前（Movable Type 7系）
Movable Type 6.8.2及びそれ以前（Movable Type 6系）
Movable Type Advanced 7 r.5002及びそれ以前（Movable Type Advanced 7系）
Movable Type Advanced 6.8.2及びそれ以前（Movable Type Advanced 6系）
Movable Type Premium 1.46及びそれ以前
Movable Type Premium Advanced 1.46及びそれ以前
PowerCMS 5.19/4.49/3.295を含むそれ以前