phpBBに10年間存在した認証バイパス脆弱性、数千万ユーザーに影響

【なぜ重要か】 phpBBは世界中で広く使われているオープンソースフォーラムソフトウェアで、日本でも多くのコミュニティサイトで利用されています。今回発見された脆弱性は認証なしでリモートコード実行が可能な重大なもので、即座の対応が必要です。

【ポイント】

• Aikido SecurityのAIペネトレーションテストツールがphpBB最新版で認証バイパス脆弱性を発見、リモートコード実行につながる可能性
• 脆弱性はデフォルト設定で悪用可能で、未認証の単一HTTPリクエストで任意ユーザーとしてセッション取得が可能
• バージョン3.3.16以下および4.0.0-a2以下が影響対象、6月6日にバージョン3.3.17でパッチがリリース済み
• phpBBは2000年からの歴史あるフォーラムソフトで、JoomlaやDebianの公式フォーラムなど大規模サイトでも利用中
• OAuth認証を使用している場合、リダイレクトURIハンドラーの場所変更による軽微な破壊的変更あり

【まとめ】 phpBBを運用している組織は、システムの完全な乗っ取りを防ぐため、直ちに最新版へのアップグレードを実施する必要があります。