[PHP-users 26139] Re: 「 XML-RPC 」の実装パッケージに深刻な脆弱性

[Yasuo Ohgaki]

Yasuo Ohgaki wrote:
> haward wrote:
> 
>>「XML-RPC」の実装パッケージに深刻な脆弱性
>>http://japan.internet.com/webtech/20050706/12.html
>>
>>みなさん、とりあえず http://jp.php.net/ の指示通り
>>pear upgrade XML_RPC
>>をたたきましょう。
> 
> 
> 私が見かけたのはPostNuke用ですが、そのまま使えるExploiteコード
> が出回っています。他のシステム用に改造するのも簡単です。
> # もともとこの脆弱性を悪用するのは簡単ですが..
> 
> 過去の例からExploiteコードが公開されると悪用された事例数が急
> 増しているので、xmlrpcを利用しているアプリケーションは早急に
> 対策を実施する必要があります。
> 

前の例はpythonで書かれたものですが、ちょっと探して見るとperlで書かれた
悪用コードもありますね。

xmlrpcは結構色々なところで利用されているので使っているアプリケーション
に含まれていないか確認した方が良いと思います。

b2evolution
http://b2evolution.net/

wordpress
http://wordpress.org/

PostNuke
http://www.postnuke.org/
(Nuke系全て要チェックと思います）

phpWiki
http://phpwiki.sourceforge.net/

Blog:CMS
http://blogcms.com/

CivicSpace
http://civicspacelabs.org/

等でxmlrpcが利用されてます。

このうちb2evolutionは私もブログに使っているアプリです。
b2evolutionの場合、_function_xmlrpc_*.php（2つのファイル）を上書きするだけです。
workpressも似たような感じだと思います。

-- 
Yasuo Ohgaki