それはですね、ソクラテス。ORDER BYで識別子がクォーテーションされないため、悪意のあるソート条件がSQLに注入される可能性があります。例えば「ORDER BY 1=1–」のような文字列を渡すと、クエリが意図せず変更される恐れがあります。

まず現在のApache SISのバージョンを確認する必要があります。1.0から1.6のユーザーが対象です。1.7以降にアップグレードすれば修正済みですが、他のモジュールやバージョンは影響を受けないため、不要なパッチ適用は避けてください。

外部からのデータ入力処理を含む機能が特にリスクがあります。例えば、ユーザーが任意のソート条件を指定できるAPIやフォームがある場合、そこが攻撃の入口になります。現状の運用環境で、どの機能がORDER BYを処理しているのかを確認しましょう。

パッチ適用の際は、変更管理プロセスに従ってテスト環境での確認を必ず行いましょう。また、アップグレード後はログを監視し、異常なSQLクエリが発生していないかチェックしてください。ベンダーの公式サイトで1.7のリリースノートを確認し、影響範囲が明確であることを再確認してください。

「クォーテーションの重要性」を忘れてはなりませんね。SQLの構築では常にパラメタライズされたクエリを使う習慣を。今回の件は、ORDER BYの処理が見落とされがちですが、それがセキュリティの要です。ユーモアを交えて言えば、この脆弱性は「ORDER BYが無防備だった」ことを教えてくれたのです。