• 会員限定
  • 2014/07/04 掲載

自社サイトは大丈夫?今狙われている、放置された「コンテンツ管理システム」の脆弱性

  • icon-mail
  • icon-print
  • icon-hatena
  • icon-line
  • icon-close-snsbtns
記事をお気に入りリストに登録することができます。
6月19日、IPA(情報処理推進機構)は、「管理できていないウェブサイトは閉鎖の検討を」というリリースを発表。サポートが終了しているCMSやバージョンが古いCMSのまま運営しているサイトに対して、バックドアを仕掛けられたりウイルスに感染する攻撃サイトにされたりする被害がなくならないことへの注意喚起である。バージョンが古いだけならアップデートすればよさそうだが、閉鎖とはどういうことだろうか。

利便性から広まったCMS、その落とし穴とは

 CMS(コンテンツ管理システム)とは、Web上に情報発信するコンテンツを効率的に作成・管理するソフトウェアの総称である。個人のブログ、SNSの普及はもちろん、企業のイントラネット拡充や自社のメディア(オウンドメディア)化が進む昨今、誰もが一度はCMSの利用経験があるのではないだろうか。

関連記事
 しかし、その便利さは危険と隣り合わせでもある。

 CMSを使ったサイト管理の際、Webページの更新等を簡単に行うためにCMS等のパスワードをシンプルなものに設定されている状態、また一度導入したCMSがアップデートされず、脆弱性が修正されていない状態になっていることがあるというのだ。

 犯罪者はそれらに目を付けてウェブサーバに不正にアクセスし、CMS等の管理者パスワードを破る、またはシステムの脆弱性を突くことで、CMS等を操作できるようにする偽サイトへ誘導するためのページを設置する。

 この点について注意喚起を発したIPAによれば、古いCMSバージョンにより危険な状態にあると届けられたサイトのうち20パーセントが、サイトの運営者に連絡がとれない、脆弱性対策の目処が立っていないという。その理由は以下の通り。

・自組織のウェブサイトにCMSが使われているという認識がない
・脆弱性がある古いバージョンのCMSを使用する危険性を認識していない
・委託先との契約が終了するなどの理由で、ウェブサイトの管理者が不在である

 サイトごとの事情はあるだろうが、かなりの割合で運営者側の意識の低さを示しているともいえる。ここで管理者不在というのはほとんど更新もされず放置されたサイトということだろう。

 また、IPAは脆弱性が狙われるCMSとして2つを挙げている。

 ひとつは、WDP(Web Diary Professional)だ。WDPは、すでに開発元が開発・サポートを終了しており、代替のツールに移行を勧めている。

 もうひとつは、Movable Type(MT)だ。こちらは、CMSの草分けともいえる存在で、現在もバージョンアップやサポートも続けられている利用者が多く歴史もあるサービスだ。利用者が多いということはそれだけ脆弱性を狙われる可能性が高くなるわけで、IPAでは、最近のWordPressやJoomla!も、注意が必要だと指摘している。

クラウド上の放置サイトが被害を拡大する恐れも

 想定される被害は、CMSの脆弱性をついてサーバーに侵入したり、サイトを改ざんしてウイルスに感染させるようにしたり、バックドアを仕掛けてさまざまな攻撃の踏み台にされることが懸念されている。実際の被害も報告されている。カスペルスキーのブログでは、WDPを使っている汚染サイトでは、ページ改ざん、スパムメールの送信ツール、DDoSツール、バックドアなどが発見されたとしている。

 WDPの脆弱性はパスワードハッシュが外部に漏れる可能性があるというものだが、おそらくパスワードクラックツールを使いハッシュを解読し、サーバーに侵入し、上記の改ざんを行ったものと思われる。

 さらにカスペルスキーのブログでは、クラウドサービス内のWebサイトがこの攻撃を受けていた例を発見し、そのサーバーがかかえる他のWebサイトまで改ざんできる状態にあったと指摘している。

【次ページ】放置されたサイトでCMSを使っていないか?

関連タグ タグをフォローすると最新情報が表示されます
あなたの投稿

    PR

    PR

    PR

処理に失敗しました

人気のタグ

投稿したコメントを
削除しますか?

あなたの投稿コメント編集

機能制限のお知らせ

現在、コメントの違反報告があったため一部機能が利用できなくなっています。

そのため、この機能はご利用いただけません。
詳しくはこちらにお問い合わせください。

通報

このコメントについて、
問題の詳細をお知らせください。

ビジネス+ITルール違反についてはこちらをご覧ください。

通報

報告が完了しました

コメントを投稿することにより自身の基本情報
本メディアサイトに公開されます

必要な会員情報が不足しています。

必要な会員情報をすべてご登録いただくまでは、以下のサービスがご利用いただけません。

  • 記事閲覧数の制限なし

  • [お気に入り]ボタンでの記事取り置き

  • タグフォロー

  • おすすめコンテンツの表示

詳細情報を入力して
会員限定機能を使いこなしましょう!

詳細はこちら 詳細情報の入力へ進む
報告が完了しました

」さんのブロックを解除しますか?

ブロックを解除するとお互いにフォローすることができるようになります。

ブロック

さんはあなたをフォローしたりあなたのコメントにいいねできなくなります。また、さんからの通知は表示されなくなります。

さんをブロックしますか?

ブロック

ブロックが完了しました

ブロック解除

ブロック解除が完了しました

機能制限のお知らせ

現在、コメントの違反報告があったため一部機能が利用できなくなっています。

そのため、この機能はご利用いただけません。
詳しくはこちらにお問い合わせください。

ユーザーをフォローすることにより自身の基本情報
お相手に公開されます