[記事数:1,202] 日本を元気にするキーワード、地域活性化×中小企業× ITのTips and Quotes(秘訣と引用文)
creative  link  memo 

パナマ文書の流出原因は、WordPressのプラグイン? セキュリティが穴だらけだったことが判明



パナマ文書の流出原因は、Wordpressのプラグイン? セキュリティが穴だらけだったことが判明
2016.04.11 13:00

160409_panama_wordpress_2思わぬところに穴が…。

世界中の政治家や経済人、著名スポーツ選手など、いわゆる「世界トップの大金持ち」たちがタックスヘイブンで資産を隠しているのではないかという疑惑が浮上した、パナマ文書問題。その真相をめぐり、いまだ世界を揺るがし続けています。

その情報の流出元については、内部の何者かによるリーク(漏洩)説と、「リークではなくハック」だという説が囁かれています。真相はまだ不明ながら、もしハックだとしたら、Wordpressのプラグインが原因である可能性が浮上しました。

そのプラグインの名は「Revolution Slider」。以前、Slider Revolutionというプラグインを狙ったロシアのマルウェアがありましたが、それと同様、サイトの中に簡単にスライドのエフェクトを導入できるものです。

指摘をしたのは、WordfenceというWordpressのセキュリティを専門とする企業。ブログ記事によると、情報が漏洩した法律事務所Mossack FonsecaのウェブサイトはWordpressで構築されており、Revolution Sliderの古いバージョンを使用していたとのこと。

それにより、ファイルのアップロードやサーバーへのスクリプト攻撃が、誰でも容易にできる状態にあったとのことで、Wordfenceではその手法についてビデオでも解説しています。

「実際に何が行なわれたのかは不明です。しかし、WordpressなどのCMSは常に激しい攻撃に晒されています」と語るのは、インターネットセキュリティの専門メディアMalwarebytesのJérôme Segura氏。同氏はまた、「サードパーティ製のプラグインを多く使えば使うほど、安全を確保するのは難しくなります」とも語っています。

前述のWordfenceによると、Mossack Fonsecaはメールサーバーもウェブと同じサーバーで管理しており、Revolution Sliderの脆弱性を突き、悪意のあるスクリプトをサーバー上にアップロードすることで、簡単に情報を抜き出せる状態にあったとのこと。さらには、ファイヤーウォールなど基本的な対応も行なわれておらず、セキュリティ対策の面ではなんともお粗末な管理だったことが判明しました。

ワイアードはさらに、Mossack Fonsecaのウェブサイトのログイン機能が3年間も放置状態にあり、ユーザに対する定期的なパスワード変更を促すこともなかったことを指摘。バックエンドとして利用しているCMSのDrupalも3年以上前の穴だらけのバージョンを利用していたとのこと。Microsoft Outlookのログイン機能も、2009年から変えていなかったそうです。

米Gizmodoは、本件についてMossack Fonsecaに取材を行ないましたが、いまだ回答は得られていません。ウェブサイトにおけるセキュリティ対策の重要性を思い知らされる内容ですね。





FavoriteLoadingお気に入りAdd to favorites
WordPressのスマホ対応用プラグインにXSSの脆弱性... WordPressのスマホ対応用プラグインにXSSの脆弱性 スマートフォン向けの配信に利用されるWordPress向けプラグイン「WP Mobile Detector」に脆弱性が含まれていることがわかった。アップデートが公開されている。 同3.2以前のバージョンにクロスサイトスク...
WordPress人気フォトギャラリープラグイン「NextGEN Gallery」に脆弱性... WordPress人気フォトギャラリープラグインに脆弱性 Threatpostに3月1日(米国時間)に掲載された記事「Million-Plus WordPress Sites Exposed by Vulnerable Plugin|Threatpost|The first stop fo...
「PHPMailer」の脆弱性、「WordPress」などでは悪用できず... 「PHPMailer」の脆弱性、「WordPress」などでは悪用できず PHPライブラリ「PHPMailer」に脆弱性が見つかった問題で、同ライブラリを利用する「WordPress」「Joomla!」「Drupal」いずれも、コア部分では脆弱性を悪用される懸念がないことがわかった。 問...
キャッシュプラグイン「WP Super Cache」に複数の脆弱性... キャッシュプラグイン「WP Super Cache」に複数の脆弱性 コンテンツマネジメントシステム「WordPress」向けに提供されているプラグイン「WP Super Cache」に複数の脆弱性が含まれていることがわかった。アップデートが公開されている。 「WP Super Cache...
乗っ取りの危険性、WordPress 4.3.1のアップデート呼びかけ... United States Computer Emergency Readiness Team (US-CERT)は9月15日(米国時間)、「WordPress Releases Security Update」において、WordPressに2つのクロスサイト・スクリプティングの脆弱性が存在すると伝...
WordPressのプラグイン「WP Super Cache」に深刻な脆弱性... WordPressのプラグイン「WP Super Cache」に深刻な脆弱性 悪用されれば管理者アカウントを追加されたり、バックドアを挿入されたりする恐れがあるという。 Webページの表示を高速化するためのWordPress用プラグイン「WP Super Cache」に深刻な脆弱性が発見...
分析用JavaScriptコードのフリをしたマルウェアに注意 – WordPress... 分析用JavaScriptコードのフリをしたマルウェアに注意 - WordPress Webページへのアクセスを分析する目的で各ページに分析用のJavaScriptコードを挿入することがある。アクセスデータはサービスを提供しているベンダーで集計され、多くの場合は専用のダッシュボードを経由し...
WordPressプラグイン「CCTM」にバックドア見つかる... WordPressプラグイン「CCTM」にバックドア見つかる 世界で最も多く使われているCMSであるWordPressは、ユーザーが多いことからサイバー攻撃の対象とされるケースが多い。また、WordPressをカスタマイズする目的で使われるプラグインに脆弱性が見つかることも多く、プラグインも...
WordPressへ「お気に入り機能」を追加するプラグインにXSSの脆弱性... WordPressへ「お気に入り機能」を追加するプラグインにXSSの脆弱性 コンテンツマネジメントシステム(CMS)のWordPress向けに提供されているプラグイン「WP Favorite Posts」に脆弱性が含まれていることがわかった。 同プラグインは、WordPressへ「お気に...
中国百度アプリに暗号化の不備、個人情報漏えいも=調査... 中国百度アプリに暗号化の不備、個人情報漏えいも=調査 ロイター 2月24日(水)16時42分配信 [シンガポール/北京 24日 ロイター] - 中国ネット検索大手の百度(バイドゥ)<BIDU.O>が、セキュリティーに不備のあるアプリを介して利用者の個人情報を収集しており、そうした情報の多くが...




コメントを残す