[記事数:1,202] 日本を元気にするキーワード、地域活性化×中小企業× ITのTips and Quotes(秘訣と引用文)
creative  link  memo 

「WordPress 4.2」の更新版公開、全バージョンに深刻な脆弱性が存在



2015年04月28日 07時01分 更新
「WordPress 4.2」の更新版公開、全バージョンに深刻な脆弱性が存在
セキュリティ企業によれば、WordPress 4.2、4.1.2、4.1.1、3.9.3の各バージョンにクロスサイトスクリプティング(XSS)の脆弱性が存在する。

l_wdprs01 WordPressは4月27日、コンテンツ管理システム(CMS)最新版の「WordPress 4.2.1」を公開し、深刻な脆弱性に対処したことを明らかにした。脆弱性はこれまでの全バージョンに存在するといい、ユーザーに対して自分のWebサイトを直ちにアップデートするよう強く勧告している。

 これに先立ちフィンランドのセキュリティ企業Klikkiは4月26日に公開したアドバイザリーで、WordPress 4.2、4.1.2、4.1.1、3.9.3の各バージョンにクロスサイトスクリプティング(XSS)の脆弱性が存在することを確認したと伝えていた。

 Klikkiによれば、この問題を悪用された場合、認証を受けない攻撃者がWordPressのコメントにJavaScriptを挿入して、サーバ上で任意のコードを実行したり、管理者パスワードの変更や新しい管理者アカウントの追加といった操作をすることが可能になるという。この脆弱性を突くコンセプト実証コードやデモ映像も公開している。

 脆弱性報告を巡ってKlikkiは、「2014年11月からWordPressに連絡を取ろうと試みてきたが、すべて拒否された」と訴えていた。

動画でも脆弱性情報を提供したKlikki
 WordPressは別の深刻な脆弱性を修正したバージョン4.1.2が4月21日に公開された。バージョン4.2(Powell)は同月23日に正式公開されたばかりだった。

WordPress、緊急アップデートを公開–乗っ取りを可能にする脆弱性に対処
Zack Whittaker (ZDNet.com) 翻訳校正: 編集部 2015年04月28日 12時24分

 世界中に普及しているブログプラットフォーム「WordPress」を乗っ取る概念実証コードが公開された。

 この概念実証コードは、クロスサイトスクリプティング(XSS)攻撃を実施するものであり、攻撃者がこれを悪用すれば、パスワードの変更や新たなアカウントの作成によって、WordPressを実行しているサーバ全体を乗っ取ることも可能だ。

 こうした攻撃は、WordPressのコメント欄にコードを注入し、その後大量のテキスト(64Kバイト超)を追加することで可能になる。WordPressのデフォルト設定では、ユーザーの最初のコメント投稿は承認されるまで公開されない。このため攻撃者は何の変哲もないコメントを最初に書き込んで管理者を騙し、自動承認されるようにしたうえで、悪意のあるコメントを書き込むことになる。

 影響を受けるWordPressのバージョンは3.9.3、4.1.1、4.1.2、最新版の4.2だ。

 セキュリティ企業Klikki Oyに勤務し、フィンランドを拠点に活動するJouko Pynnönen氏は、同社のサイトでこの概念実証コードを解説している。この攻撃手法はつい最近公開、対処された類似の攻撃を応用したものとなっている。

 Pynnönen氏によると、同氏は2014年11月以来WordPressと連絡を取ろうとしてきたが「一切のコミュニケーションを拒絶された」ため、この脆弱性の公開に踏み切ったという。

 WordPressは米国時間4月27日、「深刻な」セキュリティアップデートとして「WordPress 4.2.1」を公開し、この問題に対処した(なお米ZDNetが同日、WordPressに電子メールでコメントを求めたが、回答は得られなかった)。





FavoriteLoadingお気に入りAdd to favorites
WordPress用リンク切れチェックプラグイン「Broken Link Checker」に脆弱性... WordPress用リンク切れチェックプラグインに脆弱性 コンテンツマネジメントシステム(CMS)であるWordPressの利用者向けに提供されているプラグインソフト「Broken Link Checker」にクロスサイトスクリプティング(XSS)の脆弱性が含まれていることが判明した。...
Chrome拡張Webpage Screenshotはスパイウェア! ウェブストアから削除... Chrome拡張Webpage Screenshotはスパイウェア! ウェブストアから削除 イスラエルの開発者が提供してたGoogle Chrome向け拡張機能 Webpage Screenshot(webページショット - Webpage Screenshot)。 ブラウザ画面内の...
WordPressへフォームを設置するプラグイン「Ninja Forms」に深刻な脆弱性... WordPressへフォームを設置するプラグインに深刻な脆弱性 WordPressにフォームを追加するプラグイン「Ninja Forms」に脆弱性が含まれていることがわかった。セキュリティ機関が注意を呼びかけている。 脆弱性情報のポータルサイトであるJVNによれば、フォームより送信された...
WordPressの人気プラグイン「Akismet」にクロスサイトスクリプティング脆弱性... WordPressの人気プラグインにクロスサイトスクリプティング脆弱性 10月15日(米国時間)、Threatpostに掲載された記事「WordPress Fixes Stored XSS Vulnerability in Akismet|Threatpost|The first s...
中国百度アプリに暗号化の不備、個人情報漏えいも=調査... 中国百度アプリに暗号化の不備、個人情報漏えいも=調査 ロイター 2月24日(水)16時42分配信 [シンガポール/北京 24日 ロイター] - 中国ネット検索大手の百度(バイドゥ)<BIDU.O>が、セキュリティーに不備のあるアプリを介して利用者の個人情報を収集しており、そうした情報の多くが...
XSSやSQLiなど複数の脆弱性を修正した「WordPress 4.2.4」... XSSやSQLiなど複数の脆弱性を修正した「WordPress 4.2.4」 複数の脆弱性を修正したコンテンツマネジメントシステム(CMS)の新版「WordPress 4.2.4」の提供が開始された。前回のアップデート「同4.2.3」から、わずか2週間弱での公開となる。 今回の更新は、S...
「WordPress 4.7.3」公開 – セキュリティ以外でも39件を修正... 「WordPress 4.7.3」公開、XSSなど6件の脆弱性を修正 2017年3月7日 11:59  WordPressは6日、ブログツール「WordPress」のセキュリティアップデートとなるバージョン「4.7.3」を公開した。クロスサイトスクリプティング(XSS)の脆弱性3件や、クロス...
WordPressに複数の脆弱性 最新版「WordPress 4.7.2」公開... WordPressに複数の脆弱性 Automatticは1月26日(米国時間)、「WordPress 4.7.2 Security Release」において、WordPressの最新版となる「WordPress 4.7.2」の公開を伝えた。このバージョンは脆弱性を修正したセキュリティリリー...
WordPress向けプラグイン「Nofollow Links」に脆弱性... WordPress向けプラグイン「Nofollow Links」に脆弱性 WordPress向けに提供されているプラグイン「Nofollow Links」に脆弱性が含まれていることがわかった。アップデートがリリースされている。 同プラグインは、WordPressにおいて特定のリンクへ「n...
WordPress用プラグイン「WP-OliveCart」に複数の脆弱性(JVN)脆弱性と脅威 セキ... WordPress用プラグイン「WP-OliveCart」に複数の脆弱性(JVN)脆弱性と脅威 セキュリティホール・脆弱性 2016年10月21日(金) 08時00分 独立行政法人 情報処理推進機構(IPA)および一般社団法人 JPCERT コーディネーションセンター(JPCERT/CC)は1...

コメントを残す