Movable Typeで第三者の不正アクセスを許可してしまう脆弱性が発見されたそうです。
今回発見された脆弱性は、第三者がCookieの値を取得し、Movable Type管理画面CGIスクリプトのパスを取得した場合に不正なアクセスが可能になるというもの。また、Cookieの値がAtom APIによるログイン時のパスワードとしても利用されているため、Atom APIに対応した対応ブログクライアント経由での不正な記事の投稿や削除が可能になるという。
シックス・アパートでは脆弱性を修正した新バージョンを6月上旬に公開予定だそうですが、取り急ぎの対策方法も紹介されていますので、【重要】 第三者による不正アクセスを許す危険性の対策についてを参照しておきましょう。
第三者による不正なアクセスが発生する条件として次のように挙げられています。
・第三者が、Cookieの値を取得する。
・第三者が、Movable Type管理画面CGIスクリプトのパスを取得する。
第三者がCookieの値を取得するのは難しいですが、2xUPに書かれているように、CGIスクリプトのパスが書かれているのでmt.cfgをかくさないと！はしておいた方が良いと思います。
でないとコメントとか検索とかトラックバックでmt.cgiの場所知られるどころか、CGIPathが丸見えです。
こちらの対策は.htaccessに数行加えるだけですので、難しくないと思います。.htaccessに関しては「.htaccessとは」あたりで参照して下さい。
