【注意喚起】MovableTypeにおける脆弱性について

最新掲載：2023年10月27日

平素より弊社サービスをご利用いただきまして、誠にありがとうございます。
このページではCMSのMovableTypeの緊急性の高い脆弱性に関するご連絡を掲載しております。
※Movable Typeの脆弱性情報すべてを掲載してはおりませんので、詳しい情報はMovable Typeの発行元の
　 Six apart社の公式サイトをご確認ください。
■MovableType　公式サイト
https://www.sixapart.jp/movabletype/

～ 2023年10月25日発表の脆弱性に関して～

MovableTypeを提供しているシックス・アパート株式会社からも脆弱性と対処の方法について、
Webサイトで告知がされております。
■[重要] Movable Type 7 r.5501 / Movable Type Premium 1.59 の提供を開始（セキュリティアップデート）
https://www.sixapart.jp/movabletype/news/2023/10/25-1100.html

--------------------------------------------------------
対象となるバージョン：
・Movable Type 7 r.5405 およびそれ以前 (Movable Type 7系)
・Movable Type Advanced 7 r.5405 およびそれ以前 (Movable Type Advanced 7系)
・Movable Type Premium 1.58 およびそれ以前
・Movable Type Premium Advanced 1.58 およびそれ以前
--------------------------------------------------------

対処方法としまして、最新版のMovableTypeにアップデートすることが推奨されています。
アップグレード方法はMovable Type公式サイトの以下のページなどをご参照ください。

■旧バージョンから Movable Type 7 へアップグレードする
https://www.movabletype.jp/documentation/mt7/installation/upgrade/upgrade/
（※アップグレードのため、新しいバージョンのMovable Typeをサーバーにアップロードした場合は、
ディレクトリ直下のCGIファイルのパーミッションを[755]にしないと500エラーとなりますのでご注意下さい。）

アップデートの対応が難しい場合には本ページ下部でご案内しております、
「mt-xmlrpc.cgi への外部からのアクセス制限を行うまたは削除」の対策をお願いいたします。

もしも現在 Movable Type をご使用でない場合には、 Movable Typeをインストールしている
ディレクトリごとの削除もご検討いただければと存じます。

何卒よろしくお願いいたします。

掲載：2022年11月29日

～ 2022年11月16日発表の脆弱性に関して～

MovableTypeを提供しているシックス・アパート株式会社からも脆弱性と対処の方法について、
Webサイトで告知がされております。
※対象となるMovable Typeのバージョンの記載はございませんでした。
　対象バージョンなどご不明点がございます場合は、Movable Type提供元であるシックス・アパート株式会社に
　ご確認ください。

■[重要] Movable Type 7 r.5401 / Movable Type 6.8.8 / Movable Type Premium 1.54 の提供開始（セキュリティアップデート）と Movable Type 8 についてのお知らせ
https://www.sixapart.jp/movabletype/news/2022/11/16-1100.html?utm_source=mmmt&utm_medium=mail&utm_campaign=mmmt202211ex

対処方法としまして、最新版のMovableTypeにアップデートすることが推奨されていますが、
そちらの対応が難しい場合には本ページ下部でご案内しております、
「mt-xmlrpc.cgi への外部からのアクセス制限を行うまたは削除」の対策をお願いいたします。

掲載：2022年8月30日

～ 2022年8月24日発表の脆弱性に関して～

以下のバージョンのMovableTypeにてセキュリティ上の問題が確認されました。
　--------------------------------------------------------
　対象となるバージョン：
　・Movable Type (Advanced) 7 r.4207 - r. 5202
　・Movable Type (Advanced) 6.0.0 - 6.8.6
　・Movable Type Premium (Advanced Edition) 1.0 - 1.52
　--------------------------------------------------------
※この脆弱性はMovable Type 4.0 以降のすべてのバージョンに存在するとのことです。

MovableTypeを提供しているシックス・アパート株式会社からも脆弱性と対処の方法について、
Webサイトで告知がされております。
■[重要] Movable Type 7 r.5301 / Movable Type 6.8.7 / Movable Type Premium 1.53 の提供を開始
（セキュリティアップデート）
https://www.sixapart.jp/movabletype/news/2022/08/24-1100.html?utm_source=mmmt&utm_medium=mail&utm_campaign=mmmt202208ex

掲載：2021年12月17日

～ 2021年12月16日発表の脆弱性に関して～

MovableType の2021年10月20日にリリースされたセキュリティアップデート版におきまして、
セキュリティ上の問題(脆弱性) への修正が不十分であることが確認されました。
　--------------------------------------------------------
　対象となるバージョン：
　・Movable Type (Advanced) 7 r.4207 - r.5004
　・Movable Type (Advanced) 6.0.0 - 6.8.4
　・Movable Type Premium (Advanced Edition) 1.0 - 1.48
　--------------------------------------------------------

MovableTypeを提供しているシックス・アパート株式会社からも脆弱性と対処の方法について、
Webサイトで告知がされております。
※[重要] Movable Type 7 r.5005 / Movable Type 6.8.5 / Movable Type Premium 1.49 の提供を開始
（セキュリティアップデート）
https://www.sixapart.jp/movabletype/news/2021/12/16-1400.html

2021年10月20日にリリースされたセキュリティアップデート版をインストールされた方は
対処方法としまして、最新版のMovableTypeにアップデートすることが推奨されていますが、
そちらの対応が難しい場合には11月11日にご案内しております、
「mt-xmlrpc.cgi への外部からのアクセス制限を行うまたは削除」の対策をお願いいたします。

掲載：2021年11月11日

～ 2021年10月20日発表の脆弱性に関して～

このたび MovableType におきまして、セキュリティ上の問題(脆弱性) が確認されました。
MovableTypeを提供しているシックス・アパート株式会社からも脆弱性と
対処の方法について、Webサイトで告知が出ております。
※[重要] Movable Type 7 r.5003 / Movable Type 6.8.3 / Movable Type Premium 1.47 の提供を開始
（セキュリティアップデート）(外部サイト)
https://www.sixapart.jp/movabletype/news/2021/10/20-1100.html

対処方法として、最新版のMovableTypeにアップデートすることが推奨されていますが、
そちらの対応が難しい場合には以下の対応をお願いいたします。
※以下の方法は上記URLのシックス・アパート株式会社のWebサイトに記載されております、
　「古い Movable Type を利用していてアップデートがすぐに行えない場合の対処方法について」を
　参照したものです。

対策方法

内容： mt-xmlrpc.cgi への外部からのアクセス制限を行うまたは削除

現在、Movable Typeを使用しておらず、削除しても問題ない場合には、
mt-xmlrpc.cgi自体をサーバから削除していただければと存じます。

削除することが難しい場合には、IPアドレスでの制限や BASIC 認証などのアクセス制限を行ってください。
（ユーザサポートページ：ウェブ上で、パスワードによるアクセス制限の利用は可能ですか？)

またmt-xmlrpc.cgiのファイルのパーミッション変更を「600」など、
外部からはアクセスできないものに変更していただくことでも、悪用防止が可能です。

●パーミッション変更方法
※FTPソフトによっても動作が異なりますが、こちらではFilezillaでの方法をご案内いたします。
1. ) 対象のファイル「mt-xmlrpc.cgi」を右クリックします。
2. ) メニューが表示されるので「パーミッションの変更(F)」をクリックします。

3 ) .パーミッションの変更画面が表示されますので、「属性値(N):600」に変更し、[OK]をクリックします。

以上でファイルのパーミッション変更は完了です。

Movable Typeがインストールされているかの確認

ご使用のFTPソフトの検索機能でお客様のサーバー上に「mt-xmlrpc.cgi」というファイルがあるか検索していただくことで、

お客様のサーバー上に Movable Type がインストールされてるかどうかご確認いただくことが可能です。

例） FTPソフト Filezilla(ver 3.60.2) を使用して検索する場合

Filezillaのインストール方法・接続方法に関しましては以下ユーザーサポートページをご参照ください。
　■FileZilla（Windows）によるファイルの転送方法

　　 http://www.futurism.ws/server/support/man_sta_ftp_filezillawin.html

1. ) Filezillaでサーバーにアクセスができた状態で、画面上部にある「望遠鏡マーク」をクリックしてください。

ファイル検索のウィンドウが表示されます。

以下の情報をご入力いただき、[検索]ボタンをクリックしてください。

　・検索タイプ　：　リモート検索

　・検索ディレクトリ　：　/www/htdocs

　・検索条件　：　すべての条件に一致

　　　　　　　　　　「名前」の欄に「mt-xmlrpc.cgi」（Movable Typeの設定ファイル名）をご入力ください。

※ファイル数が多い場合、数分の時間がかかります。

「結果：」の欄にフェイルが表示されたら、Movable Typeの設定ファイルと思われるファイルがあるということですので、
お客様のサーバー上にMovable Typeがインストールされている状況かと思われます。

他にも、新しい情報や多く寄せられるご質問に関しましては
こちらのページに追記していきますので、ご確認いただければと存じます。

ご不明点などございましたら、サポート窓口までお問い合わせください。

何卒よろしくお願いいたします。

以上
サーバ・ネットワーク事業部

【注意喚起】MovableTypeにおける脆弱性について

～ 2023年10月25日発表の脆弱性に関して ～

～ 2022年11月16日発表の脆弱性に関して ～

～ 2022年8月24日発表の脆弱性に関して ～

～ 2021年12月16日発表の脆弱性に関して ～