EC-CUBE3系と4系はSymfonyの脆弱性も考慮する必要がある

2020年1月22日、EC-CUBE3系と4系の脆弱性が報告された
PHPのフレームワークとは
フレームワークを利用することで問題も発生する
1. フレームワークのサポート切れがある
2. フレームワークに脆弱性がある
サンクユーのEC-CUBE脆弱性診断サービス

2020年1月22日、EC-CUBE3系と4系の脆弱性が報告された

2020年1月22日、株式会社イーシーキューブよりEC-CUBE3.0系、4.0系の脆弱性が報告されました。
EC-CUBE3.0系におけるsymfony/http-foundationの脆弱性
 EC-CUBE4.0系におけるsymfony/http-foundationの脆弱性

この脆弱性による被害はいまのところないそうです。

今回の脆弱性なのですが、EC-CUBE自体に脆弱性があるというものではありません。
3系と4系はSymfonyというPHPのフレームワークを使っているのですが、そのSymfonyに脆弱性が見つかったというものです。

EC-BUE3系・4系がSymfonyを使っているので、EC-CUBEに脆弱性があると言えばあるのですが、Symfonyを使っていなかったら今回の脆弱性はEC-CUBEには存在していません。
ややこしいですけど理解できますかね？笑

PHPのフレームワークとは

PHPのフレームワークとは、あらかじめいろんな機能が備わった土台みたいなものです。
フレームワーク（framework）とは英語で枠組みを指します。
枠組みを利用することで元々フレームワークに備わっている機能が使えるのでプログラミング効率がアップしますし、フレームワークの規則に準拠してプログラムを書くので比較的整ったソースになります。
フレームワークを使用することで、効率性とメンテナンス性がアップする訳です。

フレームワークを利用することで問題も発生する

上記のようにフレームワークにはメリットがあります。
だからこそEC-CUBE3系、4系はSymfonyを採用したんだと思います。

ただ、フレームワークを利用することで問題もあります。

フレームワークのサポート切れがある

フレームワークは常に進化しておりバージョンアップしています。
新しいバージョンのフレームワークを使って貰いたいし、複数のバージョンのメンテナンスをすることも困難なので、古いバージョンはどんどんサポート切れになっていきます。

EC-CUBEが利用しているバージョンのサポートが切れた時、Symfonyのバージョンをアップしなければいけません。
完全な互換性があれば作業はスムーズに進むでしょうが、互換性が完全出ない場合はEC-CUBE本体の改修が必要になります。

フレームワークに脆弱性がある

フレームワークもシステムですので、脆弱性はあります。
今回がこのパターンですね。
EC-CUBE本体に問題がなくても、使用しているフレームワークに脆弱性があると、たちまちEC-CUBEに脆弱性があるということになります。

ちなみに、2系はフレームワークを利用していませんでしたので、こういうことはありませんでした。

フレームワークを使おうが使わないがシステムである以上脆弱性はあります。
その脆弱性とどう付き合っていくか（対処するか）が大事です。
脆弱性の報告は逃さないようにしておき、適切に対処するよう心掛けてください。

サンクユーのEC-CUBE脆弱性診断サービス

サンクユーではEC-CUBEの脆弱性診断サービスを提供しております。
定期的に脆弱性診断を受け、都度脆弱性に対応することで安全なECサイト運営を行うことができます。
低価格でご提供しておりますので、是非ご検討くださいませ。
EC-CUBE脆弱性診断サービス

投稿者プロフィール

OSAMU HORIKAWACEO: 関西大学卒業後、東証プライム上場企業ゼネコンにて人事総務業務に従事。
幼少よりモノ作りが好きだったこともあり、「モノを作る仕事がしたい」という思いからシステムベンダーへ転職。

システムベンダーでは、IBMオフコンAS400で金融、物流、販売管理、経理、人事総務などのシステムを開発。
台北に駐在し遠東國際商業銀行のシステム構築プロジェクトへの参画など貴重な経験を積む。
10年間で、プログラマ、SE、プロジェクトリーダー、プロジェクトマネージャーを務め、「システムの質は要件定義の質に比例する」と学ぶ。

その後、クレジット決済代行会社にヘッドハンティングされる。
決済システムの再構築、国内外の銀行システムとの接続、クライアントの会社サイト制作・ECサイト構築を行う。
一方、組織改革を任され、20名から60名へ会社規模を拡大させる。（退任時役職：常務取締役）

2008年クリエイティブチーム・サンクユーを立ち上げ、2010年に法人化し株式会社サンクユーを設立。

クライアントの業界、取扱商材、ターゲット顧客を理解・分析することで、結果が出るWEBサイトを制作することを得意とする。
また、ECサイト構築・運営への造詣も深く、NTTレゾナント株式会社が運営するgoo Search Solutionでコラムを執筆。
ECマーケティングレポート | goo Search Solution

■趣味・好きなもの
BMW / WRC / ロードバイク / RIZIN / Bellator / UFC
David Bowie / blur / MUSE / TheRollingStones / XTC
機動戦士ガンダム(ファースト) / 富野由悠季
ベルセルク / 頭文字D / 進撃の巨人 / ジョジョの奇妙な冒険 / あしたのジョー
Mission: Impossible / Memento / ワイルド・スピード / ソナチネ
LOST / Game of Thrones / FRINGE / The Mentalist
上岡龍太郎 / ダウンタウン