EC-CUBE、既知の脆弱性の詳細公開に対し公開中止を要請

人気のECサイト構築ソフトウェア「EC-CUBE」に関する既知の脆弱性の詳細が発表されたのだが、これに対しEC-CUBEの開発元から公開中止の要請があったという（記事の追記、Togetterまとめ）。

この背景について、ECサイト構築支援を行っているTHANK Uが「EC-CUBE脆弱性情報の公開の是非」として説明を行っているのだが、これによるとサイト構築後に適切な運用を行っていないEC-CUBEユーザーが存在し、修正パッチの適用やアップデートを行っていないサイトが少なからずあるという。そのため、脆弱性の再現手順を公開することはユーザーを危険にさらす可能性があると危惧されている。

ただ、解説されている脆弱性はすべて既知のものであり、JVNなどで情報が公開されている。EC-CUBEはオープンソースなので、詳細は明らかにされていなくても、ソースコードの差分を確認すれば修正された個所から脆弱性の内容を推測できる可能性があるため「脆弱性の再現手順の公開」を防ぐことに意味があるかどうかは不明だ。

でも必要なんだよな

[Anonymous Coward]

exploit 公開してもらわないと、対策したとしても本当に対策できてるか確認するのが手間。
結局自分で攻撃ツール作って試してみる羽目になる。
すぐに公開するのはどうかと思うがある程度時間がたったら知識は共有すべきではないかな。

どうせ悪人たちは裏で知識を共有してるのに、子供のイタズラを気にして対策側の知識を制限するのは悪手としか言いようがない。