[記事数:1,202] 日本を元気にするキーワード、地域活性化×中小企業× ITのTips and Quotes(秘訣と引用文)
creative  link  memo 

「WordPress 4.2」の更新版公開、全バージョンに深刻な脆弱性が存在



2015年04月28日 07時01分 更新
「WordPress 4.2」の更新版公開、全バージョンに深刻な脆弱性が存在
セキュリティ企業によれば、WordPress 4.2、4.1.2、4.1.1、3.9.3の各バージョンにクロスサイトスクリプティング(XSS)の脆弱性が存在する。

l_wdprs01 WordPressは4月27日、コンテンツ管理システム(CMS)最新版の「WordPress 4.2.1」を公開し、深刻な脆弱性に対処したことを明らかにした。脆弱性はこれまでの全バージョンに存在するといい、ユーザーに対して自分のWebサイトを直ちにアップデートするよう強く勧告している。

 これに先立ちフィンランドのセキュリティ企業Klikkiは4月26日に公開したアドバイザリーで、WordPress 4.2、4.1.2、4.1.1、3.9.3の各バージョンにクロスサイトスクリプティング(XSS)の脆弱性が存在することを確認したと伝えていた。

 Klikkiによれば、この問題を悪用された場合、認証を受けない攻撃者がWordPressのコメントにJavaScriptを挿入して、サーバ上で任意のコードを実行したり、管理者パスワードの変更や新しい管理者アカウントの追加といった操作をすることが可能になるという。この脆弱性を突くコンセプト実証コードやデモ映像も公開している。

 脆弱性報告を巡ってKlikkiは、「2014年11月からWordPressに連絡を取ろうと試みてきたが、すべて拒否された」と訴えていた。

動画でも脆弱性情報を提供したKlikki
 WordPressは別の深刻な脆弱性を修正したバージョン4.1.2が4月21日に公開された。バージョン4.2(Powell)は同月23日に正式公開されたばかりだった。

WordPress、緊急アップデートを公開–乗っ取りを可能にする脆弱性に対処
Zack Whittaker (ZDNet.com) 翻訳校正: 編集部 2015年04月28日 12時24分

 世界中に普及しているブログプラットフォーム「WordPress」を乗っ取る概念実証コードが公開された。

 この概念実証コードは、クロスサイトスクリプティング(XSS)攻撃を実施するものであり、攻撃者がこれを悪用すれば、パスワードの変更や新たなアカウントの作成によって、WordPressを実行しているサーバ全体を乗っ取ることも可能だ。

 こうした攻撃は、WordPressのコメント欄にコードを注入し、その後大量のテキスト(64Kバイト超)を追加することで可能になる。WordPressのデフォルト設定では、ユーザーの最初のコメント投稿は承認されるまで公開されない。このため攻撃者は何の変哲もないコメントを最初に書き込んで管理者を騙し、自動承認されるようにしたうえで、悪意のあるコメントを書き込むことになる。

 影響を受けるWordPressのバージョンは3.9.3、4.1.1、4.1.2、最新版の4.2だ。

 セキュリティ企業Klikki Oyに勤務し、フィンランドを拠点に活動するJouko Pynnönen氏は、同社のサイトでこの概念実証コードを解説している。この攻撃手法はつい最近公開、対処された類似の攻撃を応用したものとなっている。

 Pynnönen氏によると、同氏は2014年11月以来WordPressと連絡を取ろうとしてきたが「一切のコミュニケーションを拒絶された」ため、この脆弱性の公開に踏み切ったという。

 WordPressは米国時間4月27日、「深刻な」セキュリティアップデートとして「WordPress 4.2.1」を公開し、この問題に対処した(なお米ZDNetが同日、WordPressに電子メールでコメントを求めたが、回答は得られなかった)。





FavoriteLoadingお気に入りAdd to favorites
WordPressへ「お気に入り機能」を追加するプラグインにXSSの脆弱性... WordPressへ「お気に入り機能」を追加するプラグインにXSSの脆弱性 コンテンツマネジメントシステム(CMS)のWordPress向けに提供されているプラグイン「WP Favorite Posts」に脆弱性が含まれていることがわかった。 同プラグインは、WordPressへ「お気に...
レノボ製パソコンにスパイウェア、2省・市が注意喚起... レノボ製パソコンにスパイウェア、2省・市が注意喚起 2016/01/08 14:52 JST配信  東北部地方クアンニン省人民委員会はこのほど、「スパイウェア」をプリインストールされた中国の聯想集団(Lenovo Group=レノボグループ)製のパソコンの使用に注意を促す公文書を各部局や市・...
WordPress用プラグイン「WP-OliveCart」に複数の脆弱性(JVN)脆弱性と脅威 セキ... WordPress用プラグイン「WP-OliveCart」に複数の脆弱性(JVN)脆弱性と脅威 セキュリティホール・脆弱性 2016年10月21日(金) 08時00分 独立行政法人 情報処理推進機構(IPA)および一般社団法人 JPCERT コーディネーションセンター(JPCERT/CC)は1...
Chrome拡張Webpage Screenshotはスパイウェア! ウェブストアから削除... Chrome拡張Webpage Screenshotはスパイウェア! ウェブストアから削除 イスラエルの開発者が提供してたGoogle Chrome向け拡張機能 Webpage Screenshot(webページショット - Webpage Screenshot)。 ブラウザ画面内の...
「WordPress 4.2.3」公開、XSSの脆弱性を修正... 「WordPress 4.2.3」公開、XSSの脆弱性を修正 XSSの脆弱性を悪用された場合、「投稿者」「寄稿者」の権限を持つユーザーがWebサイトを制御できてしまう恐れがある。  WordPressの脆弱性を修正した更新版の「WordPress 4.2.3」が7月23日付でリリースされた。...
キャッシュプラグイン「WP Super Cache」に複数の脆弱性... キャッシュプラグイン「WP Super Cache」に複数の脆弱性 コンテンツマネジメントシステム「WordPress」向けに提供されているプラグイン「WP Super Cache」に複数の脆弱性が含まれていることがわかった。アップデートが公開されている。 「WP Super Cache...
パナマ文書の流出原因は、WordPressのプラグイン? セキュリティが穴だらけだったことが判明... パナマ文書の流出原因は、Wordpressのプラグイン? セキュリティが穴だらけだったことが判明 2016.04.11 13:00 思わぬところに穴が…。 世界中の政治家や経済人、著名スポーツ選手など、いわゆる「世界トップの大金持ち」たちがタックスヘイブンで資産を隠しているのではないか...
WordPress向けeコマースサイト構築プラグイン「WP Marketplace」に脆弱性 ... WordPress向けeコマースサイト構築プラグインに脆弱性 - ゼロデイ攻撃も WordPressにおいてeコマースサイトを構築できるプラグイン「WP Marketplace」に、複数の脆弱性が含まれていることがわかった。10月18日の時点で修正プログラムは用意されておらず、すでに悪用も確認...
WordPress向けプラグイン「Nofollow Links」に脆弱性... WordPress向けプラグイン「Nofollow Links」に脆弱性 WordPress向けに提供されているプラグイン「Nofollow Links」に脆弱性が含まれていることがわかった。アップデートがリリースされている。 同プラグインは、WordPressにおいて特定のリンクへ「n...
WordPress人気フォトギャラリープラグイン「NextGEN Gallery」に脆弱性... WordPress人気フォトギャラリープラグインに脆弱性 Threatpostに3月1日(米国時間)に掲載された記事「Million-Plus WordPress Sites Exposed by Vulnerable Plugin|Threatpost|The first stop fo...

コメントを残す