EC-CUBE 3系および 4系に任意のコードを実行される脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は11月7日、EC-CUBE 3系および 4系において任意のコードを実行される脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。株式会社エヌ・エフ・ラボラトリーズの三浦剛氏が報告を行っている。影響を受けるシステムは以下の通り。

・EC-CUBE 4系
EC-CUBE 4.0.0 から 4.0.6-p3 まで
EC-CUBE 4.1.0 から 4.1.2-p2 まで
EC-CUBE 4.2.0 から 4.2.2 まで

・EC-CUBE 3系
EC-CUBE 3.0.0 から 3.0.18-p6 まで

　株式会社イーシーキューブが提供する EC-CUBE 3系および 4系には、同製品がテンプレートエンジンとして使用している Twig の設定不備に起因した任意コード実行可能な脆弱性が存在し、当該製品の管理者権限を持つユーザによって、当該製品が動作するサーバー上で任意のコードを実行される可能性がある。

　JVNでは、開発者が提供する情報をもとに最新版にアップデートするよう呼びかけている。イーシーキューブでは、本脆弱性を修正した EC-CUBE 4.2.3 をリリースしている。

　なおイーシーキューブでは、アップデートを適用できないユーザに向けて修正パッチを提供している。