Parallels Plesk Panel の脆弱性に関する緊急対応完了の御連絡
（Plesk管理画面へのアクセス制限実施について）
2012/2/15 (水） 5:00公開
平素は弊社サービスをご利用頂きましてありがとうございます。
Plesk をご利用いただいております、サーバに対するアクセス制限の実施作業が完了しましたのでご報告いたします。
現在はメールにて御連絡いたしましたホストからのみPlesk管理画面にアクセスが可能なように制限させていただいております。
※尚、お客様の方でrootのパスワードを変更され、変更後のパスワードを弊社にご連絡をいただけていないサーバにつきましては対応が実施できておりません。
個別にメールにてご案内をさせていただきますので、必ずご確認の上ご連絡をいただけますようお願い致します。
影響内容
Plesk 管理画面へのアクセス
※ Web, FTP, メールなどについては影響はございません。
本脆弱性の影響を受けるPlesk のバージョン
Plesk 9.x 以前
※ Plesk 10.4.x については本作業の対象外とさせていただきます。
Pleskへのアクセス設定変更作業時間
2012年2月14日(火) 21時00分 ～ 2012年2月15日(水) 5時00分
※お客様の方でPleskを意図的に停止しておられた場合、上記作業によりPlesk が起動しておりますので、ご了承ください。
御連絡いたしましたホスト名以外（逆引きホスト名未設定含む）からPlesk にアクセスされている場合は、設定を追加させていただきますので、お手数ですが下記URLより接続元設定変更申込をお願いいたします。
https://spt.clara.jp/procedure/server/
また、本件はお客様のサーバのセキュリティに関わる重要な問題であることから、弊社では新たな情報が判明し次第、今後も更なるセキュリティ向上策を講じていく予定でございます。
Parallels Plesk Panel の脆弱性に関する緊急対応
（Plesk管理画面へのアクセス制限実施について）
2012/2/14 (火） 19:45公開
平素は弊社サービスをご利用いただきましてありがとうございます。
先般より御連絡させていただいております、Parallels Plesk Panel (以下Plesk) の脆弱性に関する件につきまして、その後の調査により判明しました内容と対策を御連絡させていただきます。
2月10日～11日に実施させていただいた暫定対応により、XML-RPC機能の停止を実施させていただいており、現在のところ脆弱性自体の問題は解消されております。
しかしながら、弊社にて本件の影響状況を調査しましたところ、暫定対応前に一部のお客様サーバに対して、脆弱性を狙った攻撃が実施されており、Pleskのパスワードを詐取されている恐れがあることが判明いたしました。
その為、大変ご迷惑をおかけしますがセキュリティ上のリスクを軽減するため、緊急にアクセス制限の設定を追加いたします。
影響内容
Plesk 管理画面へのアクセス
※ Web, FTP, メールなどについては影響はございません。
設定変更対象のPlesk のバージョン
Plesk 9.x 以前
※ Plesk 10.x については本作業の対象外とさせていただきます。
Pleskへのアクセス設定変更開始
2012年2月14日(火) 21時00分～ 順次実施
対応策とお客様への影響
Plesk に対する攻撃元を調査したところ、日本国外からの攻撃が行われていることが判明いたしました。
このため、Pleskへのアクセスをメールにてご案内させていただきましたホストからのみに制限させていただきます。
御連絡いたしましたホスト名以外（逆引きホスト名未設定含む）からPlesk にアクセスされている場合は、設定を追加させていただきますので、お手数ですが下記URLより接続元設定変更申込をお願いいたします。
https://spt.clara.jp/procedure/server/
Parallels Plesk Panel の脆弱性に関する暫定対応完了のご連絡
（専用サーバサービス）
2012/2/11 (土） 2:00公開
2012/2/11 (土） 6:00更新
平素は弊社サービスをご利用いただきましてありがとうございます。
専用サーバサービスの脆弱性への対応が暫定的ではございますが完了致しましたのでご報告いたします。現在は通常通りアクセスをしていただくことが可能となっております。(RPC-APIを除きます)。
遮断期間
2012年2月10日(金) 14時00分 ～ 2012年2月11日(土) 6時00分（専用サーバ）
脆弱性の内容
SQLインジェクションを用い、管理者レベルのコマンド実行が可能
Pleskでは、外部システムとの連携を実現するためにRPC-APIの機能を提供しております。
このAPIはサーバのポート 8443(HTTPS)に対してXML-RPCコマンドを送付することで実現しておりますが、今回このAPIに特定のSQLコードを挿入することで管理者レベルのコマンド実行が可能となるSQLインジェクションの脆弱性があることが判明しました。
実施内容
XML-RPC 機能の停止措置を行い、Pleskの再起動を実施しました。
※お客様の方でPleskを意図的に停止しておられた場合、上記作業によりPleskが起動しております、ご了承ください。
※XML-RPC 機能をご利用になられているお客様は、対応策を調整させていただきますのでサポートまでご連絡ください。
Parallels Plesk Panel の脆弱性に関する暫定対応完了のご連絡
（VPS / FPS / Flex Mini）
2012/2/10 (金） 20:30公開
平素は弊社サービスをご利用いただきましてありがとうございます。
VPS / FPS / Flex Miniに関しては、脆弱性の対応が暫定的ではございますが完了致しましたのでご報告いたします。
現状、通常通りアクセスをしていただくことが可能となっております(RPC-APIを除きます)。
尚、専用サーバサービスに付きましては現在も対応中となっております。
進展があり次第、専用サーバサービスをご契約のお客様へはご案内をさせていただき ます。
遮断期間
2012年2月10日(金) 14時00分 ～ 20時00分（VPS / FPS / Flex Mini）
脆弱性の内容
SQLインジェクションを用い、管理者レベルのコマンド実行が可能
Pleskでは、外部システムとの連携を実現するためにRPC-APIの機能を提供しております。
このAPIはサーバのポート 8443(HTTPS)に対してXML-RPCコマンドを送付することで実現しておりますが、今回このAPIに特定のSQLコードを挿入することで管理者レベルのコマンド実行が可能となるSQLインジェクションの脆弱性があることが判明しました。
実施内容
XML-RPC 機能の停止措置を行い、Pleskの再起動を実施しました。
※お客様の方でPleskを意図的に停止しておられた場合、上記作業によりPleskが起動しております、ご了承ください。
※XML-RPC 機能をご利用になられているお客様は、対応策を調整させていただきますのでサポートまでご連絡ください
Parallels Plesk Panel の脆弱性に関するご連絡
（TCP8443/8880をPlesk以外でご利用のお客様へ）
2012/2/10 (金） 18:00公開
平素は弊社サービスをご利用いただきましてありがとうございます。
Parallels Plesk Panel以外でTCPポート8443番、8880番をご利用のお客様は、 個別に遮断設定を解除させていただきます。
大変お手数をおかけいたしますが support@clara.ne.jp までご連絡ください。
ご連絡をいただけましたら順次対応 をさせていただきます。その際には以下の情報を合わせてご記入ください。
- お客様名 - お客様番号 - 対象サーバホスト名 - 対象サーバIPアドレス
Parallels Plesk Panel の脆弱性に関するご連絡（続報）
2012/2/10 (金） 14:00公開
2012/2/10 (金） 18:25更新
平素は弊社サービスをご利用いただきましてありがとうございます。
本日ご案内をさせていただきました、「【緊急】Parallels Plesk Panel の脆弱性に関するご連絡」に関しまして続報をご案内させていただきます。
先のご案内の中で、対応策とお客様への影響についてをPlesk をご利用のお客様と限定しておりましたが、正しくは「Pleskをご利用のお客様と、弊社サーバ サービスでTCP8443/8880ポートを用いた通信をご利用のお客様」となります。
不適切なご案内となりましたこと、深くお詫び申し上げます。
なお、本件は緊急性が高い脆弱性と判断したため、引き続き安全策を講じるまでの間、一時的に外部から TCPポート8443番、8880番への通信をすべて遮断させ ていただいております。
影響を受けるサーバ
TCPポート8443番、8880番 を利用しているサーバすべて
本脆弱性の影響を受けるPlesk のバージョン
すべてのバージョン
TCPポート 8443番、8880番 への遮断開始
2012年2月10日(金) 14時0分から
対応策とお客様への影響
一時的に TCPポート 8443番、8880番 へのアクセスをすべて遮断させていただくため、Plesk 等がご利用いただけなくなります。
なお、Plesk で管理されている Web サイトへのアクセス、メールの送受信につきましては影響はございません。
弊社の調査した範囲では, Plesk の XML-RPC 機能に重大なセキュリティホールが存在す る可能性が高いため、XML-RPC 機能を停止させていただき次第、順次アクセス 遮断を復旧させていただきます。
Plesk へのアクセス遮断の復旧につきましては、 2月11日(土) 12:00までを予定しております。
本件の、最新情報につきましては、弊社カスタマーサポートサイト の お知らせをご覧ください。
弊社カスタマーサポートサイト「お知らせ」
お客様には多大なご迷惑をおかけしまして申し訳ございませんが、サーバのセキュリティの観点から、何卒ご理解賜りますようお願い申し上げます。