プラットフォーム
php
コンポーネント
arunna
修正版
1.0.1
CVE-2021-47754は、Arunnaのバージョン1.0.0に存在するクロスサイトリクエストフォージェリ（CSRF）脆弱性です。攻撃者は、認証済みのユーザーを欺くことで、ユーザープロファイルの設定を不正に操作することが可能になります。この脆弱性は、ユーザーのパスワード、メールアドレス、さらには管理者権限の変更といった深刻な影響を及ぼす可能性があります。脆弱性は2026年1月15日に公開され、最新バージョンへのアップデートで修正されています。
このCSRF脆弱性を悪用されると、攻撃者は認証済みのユーザーになりすまし、ユーザープロファイルの設定を自由に書き換えることができます。例えば、攻撃者はユーザーのパスワードを勝手に変更したり、メールアドレスを攻撃者の管理するアドレスに変更したりすることが可能です。さらに、ユーザーが管理者権限を持っている場合、攻撃者は管理者権限を奪取し、システム全体を制御する可能性も否定できません。この脆弱性は、ユーザーの個人情報漏洩や、システムへの不正アクセスといった重大な被害をもたらす可能性があります。
この脆弱性は、KEV（Know Exploit Vulnerabilities）に登録されていません。公開されているPoC（Proof of Concept）は確認されていませんが、CSRF脆弱性は比較的悪用が容易であるため、注意が必要です。NVD（National Vulnerability Database）およびCISA（Cybersecurity and Infrastructure Security Agency）の情報を定期的に確認し、最新の情報を把握するようにしてください。
Organizations and individuals using Arunna version 1.0.0 are at direct risk. Specifically, environments where Arunna is deployed with default configurations or where user accounts have elevated privileges are particularly vulnerable. Shared hosting environments utilizing Arunna should be carefully monitored and secured.
• php / web:
curl -I <arunna_url>/profile.php | grep -i 'csrf-token'• generic web:
curl -I <arunna_url>/profile.php | grep -i 'set-cookie'• generic web:
grep -r 'profile.php' /var/log/apache2/access.log | grep -i 'csrf-token'disclosure
エクスプロイト状況
EPSS
0.02% (6% パーセンタイル)
CISA SSVC
CVSS ベクトル
この脆弱性への対応として、Arunnaのバージョンを最新版にアップデートすることを推奨します。アップデートが困難な場合は、Webアプリケーションファイアウォール（WAF）を導入し、CSRF攻撃を検知・防御するルールを設定してください。また、ユーザーに対して、不審なリンクをクリックしない、信頼できないWebサイトへのアクセスを避けるといったセキュリティ意識の向上も重要です。さらに、CSRFトークンの導入や、ユーザーの操作に対して確認画面を表示するなどの対策も有効です。
CSRF 脆弱性を修正する Arunna の修正済みバージョンにアップデートしてください。CSRF 攻撃を防ぐためのセキュリティ対策を見直し、強化してください。例えば、すべてのフォームと機密性の高いリクエストに CSRF トークンを実装してください。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2021-47754は、Arunnaのバージョン1.0.0に存在するクロスサイトリクエストフォージェリ（CSRF）脆弱性で、認証済みユーザーを騙してプロファイル設定を不正に変更される可能性があります。
はい、Arunnaのバージョン1.0.0を使用している場合、この脆弱性により、パスワードやメールアドレス、管理者権限が不正に変更される可能性があります。
Arunnaのバージョンを最新版にアップデートすることで、この脆弱性を修正できます。アップデートが難しい場合は、WAFの導入やセキュリティ意識の向上などの対策を検討してください。
現時点では、公開されているPoCは確認されていませんが、CSRF脆弱性は比較的悪用が容易であるため、注意が必要です。
Arunnaの公式アドバイザリは、Arunnaの公式サイトまたは関連するセキュリティ情報サイトで確認できます。