スニペット「Reflect」に発見された脆弱性について

0.9.6.2から同梱されているスニペット「Reflect」にセキュリティホールが見つかりました。
同スニペットを利用している皆さんは、確認および対策を考慮ください。

http://modxcms.com/forums/index.php/topic,30875.msg187178.html

・問題

0.9.6.2から同梱されているスニペット「Reflect」に脆弱性。
phpの設定でregister_blobals=onの場合、Reflectの脆弱性を利用して、攻撃を受ける可能性があります。

・対策

Reflectスニペットをリネームしてしまう（a.txtなど）
Reflectスニペットを削除する

なお、Reflectは現在のダウンロードパッケージ（0.9.6.2以降）からは削除されました。
また、ダウンロードレポジトリからも削除されています。

今後、Reflectの使用はお控えください。

Reflectをご利用の方は、自環境の確認および対策をお願いいたします。


・参考文章

http://modxcms.com/forums/index.php/topic,30875.msg187178.html
ライアンからの公式アナウンス

http://secunia.com/Advisories/32824/
詳細な報告

http://modxcms.com/forums/index.php/topic,30850
脆弱性に関する議論

情報ありがとうございます。
最近のエラーログにassets/snippets/reflect/snippet.reflect.phpへの
アクセスが多いと思っていましたがこういう理由でしたか・・・

知識不足で申し訳ないのですが、reflectを使っていても
Modxマネージャーのレポート＞システム情報＞phpInfo()をみて
register_globalsがoffになっていればとりあえずは問題ないでしょうか？

あと別件で申し訳ないのですが、最近のエラーログに
css/css//css/css/css/css/css/css/css///css/css/css/css/css/css/css/css///css/css//css/css//css//css//
のようなエラーログがたくさんあるのですが、これも何かの脆弱性を狙われていると
考えてよろしいでしょうか？

Quote from: hamchan at Dec 04, 2008, 03:20 AM

知識不足で申し訳ないのですが、reflectを使っていても
Modxマネージャーのレポート＞システム情報＞phpInfo()をみて
register_globalsがoffになっていればとりあえずは問題ないでしょうか？

これについては、こちらにまとめていますが、register_globalsがoffになっていれば実害は無いかと思います。
http://modxcms.com/forums/index.php/topic,21302.msg187407.html#msg187407

ま、実害は無いとしても、「assets/snippets/reflect/snippet.reflect.php」は削除するか、拡張子を「.txt」等に変えるとかしておくと安心かとは思いますが。