主要脆弱性情報 アドバイザリID: REVIVE-SA-2013-001 CVE ID: CVE-2013-7149 日付: 2013-12-20 セキュリティリスク: Critical（重大） 影響を受けるアプリケーションおよびバージョン 対象アプリケーション: Revive Adserver 対象バージョン: = 3.0.2 脆弱性概要 脆弱性: SQLインジェクション 概要: SQLインジェクション脆弱性が発見され、Revive Adserverチームに報告されました。この脆弱性は、ブルートフォース攻撃によってアプリケーションへの不正アクセスを得るために悪用されていますが、他の種類の攻撃でも利用可能な可能性があります。リスクはCritical（重大）と評価されています。その理由として、最も一般的な攻撃目標は、広告サーバーを使用するウェブサイトや広告ネットワークを通じてマルウェアを拡散させることです。 追加の脆弱性: この脆弱性は、OpenX Source 2.8.11 およびそれ以前のバージョン、さらにphpAdsNew 2.0.xシリーズにさかのぼって存在する可能性があります。 脆弱性の詳細 詳細: XML-RPC経由で配送呼び出しを行うスクリプトは、配送メソッドと同じ方法で入力パラメータをエスケープしていないため、攻撃者がパラメータを介して任意のSQLコードをインジェクトすることが可能です。配送スクリプト内でパラメータ処理に使用されていたエスケープ技術は、 PHP関数から、データベース専用のエスケープ関数にアップグレードされました。 解決策 解決策: ユーザーの皆様には、最新版の 3.0.2 へのアップグレードを強く推奨します。これは、OpenX Source を実行しているユーザーや、それ以前のバージョンのアプリケーションを使用しているユーザーにも適用されます。 一時的な対策: アップグレードが即時に実施できない場合、未使用の場合は「www/delivery/axmlrpc.php」スクリプトを削除することを推奨します。これは、アプリケーションのアップグレードが行われるまでの一時的な対処療法となります。