YouPHPTube には、さまざまな攻撃に利用されかねない複数の脆弱性が含まれています。一部のケースでは、細工をした Web リクエストを使って、アプリケーションに SQL コードを挿入する攻撃が可能です。YouPHPTube
は、ユーザが自分自身で独自の動画サイトを作成できるオープンソースのプログラムです。ソフトウェアの Web サイトを見ると、YouTube、Netflix、Vimeo などの有名な動画配信サービスを念頭に置いていることがわかります。攻撃者が脆弱性のエクスプロイトに成功すると、データベース内のファイルが密かに送信されたり、ユーザのログイン情報が盗まれたりする可能性があります。また構成によっては、ソフトウェアが動作する OS にアクセスされることもあります。
Cisco Talos は情報開示方針に従って YouPHPTube 社と協力し、今回の脆弱性が解決済みであり、影響を受けた利用者向けにアップデートが利用可能であることを確認しています。
脆弱性の詳細
YouPHPTube Encoder の base64Url に起因する、複数のコマンドインジェクションの脆弱性（TALOS-2019-0917 / CVE-2019-5127、CVE-2019-5129）
YouPHPTube Encoder 2.3（YouPHPTube 内でエンコーダ機能を提供するプラグイン）には、未認証でコマンドインジェクションが可能になる脆弱性が存在します。細工が施された Web リクエストにより、サーバ上で任意コマンドを実行される可能性があります。脆弱性を狙った特定のパラメータと共に Web リクエストが送信されると、データベース内のデータが漏洩する、ユーザのログイン情報が盗まれる、ソフトウェアが動作する OS が侵害される、などの可能性があります。このブログで説明している他の脆弱性と異なり、これらの脆弱性は攻撃者がログインしていない未認証の状態でもエクスプロイト可能です。
詳細は、こちらからアドバイザリ全文をお読みください。
YouPHPTube の /objects/pluginSwitch.json.php SQL に起因する、SQL インジェクションを許す複数の脆弱性（TALOS-2019-0911 / CVE-2019-5121、CVE-2019-5123）
YouPHPTube 7.6 には、認証後に SQL インジェクションが可能になる脆弱性が存在します。細工を施した Web リクエストにより、SQL インジェクションが可能になります。SQL インジェクションを狙うパラメータと共に Web リクエストが送信されると、データベース内のデータが漏洩する、あるいはユーザのログイン情報が盗まれる可能性があります。構成によっては、ソフトウェアが動作する OS が侵害される可能性もあります。
詳細は、こちらからアドバイザリ全文をお読みください。
YouPHPTube の /plugin/AD_Server/view/campaignsVideos.json.php に起因する、SQL インジェクションを許す脆弱性（TALOS-2019-0910 / CVE-2019-5120）
YouPHPTube 7.6 には、認証後に SQL インジェクションが可能になる脆弱性が存在します。細工を施した Web リクエストにより、SQL インジェクションが可能になります。SQL インジェクションを狙うパラメータと共に Web リクエストが送信されると、データベース内のデータが漏洩する、あるいはユーザのログイン情報が盗まれる可能性があります。構成によっては、ソフトウェアが動作する OS が侵害される可能性もあります。
詳細は、こちらからアドバイザリ全文をお読みください。
YouPHPTube の /objects/subscribeNotify.json.php user_id に起因する、SQL インジェクションを許す脆弱性（TALOS-2019-0909 / CVE-2019-5119）
YouPHPTube 7.6 には、認証後に SQL インジェクションが可能になる脆弱性が存在します。細工を施した Web リクエストにより、SQL インジェクションが可能になります。SQL インジェクションを狙うパラメータと共に Web リクエストが送信されると、データベース内のデータが漏洩する、あるいはユーザのログイン情報が盗まれる可能性があります。構成によっては、ソフトウェアが動作する OS が侵害される可能性もあります。
詳細は、こちらからアドバイザリ全文をお読みください。
YouPHPTube /objects/subscribe.json.php に起因する、SQL インジェクションを許す脆弱性（TALOS-2019-0908 / CVE-2019-5117）
YouPHPTube 7.6 には、認証後に SQL インジェクションが可能になる脆弱性が存在します。細工を施した Web リクエストにより、SQL インジェクションが可能になります。SQL インジェクションを狙うパラメータと共に Web リクエストが送信されると、データベース内のデータが漏洩する、あるいはユーザのログイン情報が盗まれる可能性があります。構成によっては、ソフトウェアが動作する OS が侵害される可能性もあります。
詳細は、こちらからアドバイザリ全文をお読みください。
YouPHPTube/objects/videoAddNew.json.php に起因する、SQL インジェクションの脆弱性（TALOS-2019-0907 / CVE-2019-5116）
YouPHPTube 7.6 には、認証後に SQL インジェクションが可能になる脆弱性が存在します。細工を施した Web リクエストにより、SQL インジェクションが可能になります。SQL インジェクションを狙うパラメータと共に Web リクエストが送信されると、データベース内のデータが漏洩する、あるいはユーザのログイン情報が盗まれる可能性があります。構成によっては、ソフトウェアが動作する OS が侵害される可能性もあります。
詳細は、こちらからアドバイザリ全文をお読みください。
YouPHPTube /objects/commentAddNew.json.php comments_id に起因する、SQL インジェクションを許す脆弱性（TALOS-2019-0906 / CVE-2019-5114）
YouPHPTube 7.6 には、認証後に SQL インジェクションが可能になる脆弱性が存在します。細工を施した Web リクエストにより、SQL インジェクションが可能になります。SQL インジェクションを狙うパラメータと共に Web リクエストが送信されると、データベース内のデータが漏洩する、あるいはユーザのログイン情報が盗まれる可能性があります。構成によっては、ソフトウェアが動作する OS が侵害される可能性もあります。
詳細は、こちらからアドバイザリ全文をお読みください。
脆弱性が確認されたバージョン
TALOS-2019-0908、TALOS-2019-0907、TALOS-2019-0906、TALOS-2019-0909、TALOS-2019-0910、TALOS-2019-0911 の脆弱性は、バージョン 6.2 と 7.6 に影響があることを Talos で確認済みです。バージョン 7.6 は TALOS-2019-0917 の影響も受けます。
カバレッジ
脆弱性のエクスプロイトは、以下の SNORTⓇ ルールにより検出可能です。今後、脆弱性に関する新たな情報が追加されるまでの間は、ルールが追加されたり、現行のルールが変更されたりする場合がありますのでご注意ください。最新のルールの詳細については、Firepower Management Center または Snort.org を参照してください。
Snort ルール： 51587 ～ 51592、51597 ～ 51599、51600 ～ 51602、51608 ～ 51610、51924 ～ 51928
本稿は 2019年10月17日に Talos Group
Authors