PoC exploits released for critical bugs in popular WordPress plugins
2023/01/13 BleepingComputer — WordPress が公開したのは、数万インストールされている人気プラグイン３種類に存在する、深刻な SQL インジェクションの脆弱性と、その対策である。SQLインジェクション脆弱性とは、Web サイトのセキュリティ上の欠陥のことを指す。その悪用に成功した攻撃者は、フォームフィールドや URL 経由でデータを入力し、正規のデータベース・クエリーを変更することで、データの改ざんやなどを可能にする。SQL インジェクションの脆弱性を持つ Web サイトのコードに応じて、サイト・データの修正や削除／悪意のスクリプト注入／Web サイトへのフルアクセスなどにいたる恐れがある。
Proof of Conceptエクスプロイトの公開
この３種類の脆弱なプラグインは、Tenable のセキュリティ研究者である Joshua Martinelle が発見し、2022年12月19日に WordPress に報告したものであり、PoC エクスプロイトも伴うものとなる。
一連のプラグインの作者は、その後の数日〜数週間のうちに、それぞれの問題に対応するセキュリティ・アップデートをリリースしている。したがって、すでに問題は修正され、最新バージョンを実行しているサイトには脆弱性は存在していない。
この研究者は 1月12日に、それぞれの脆弱性に関する技術的な詳細と、欠陥が機能する方法を示すために、SLEEP 関数を用いた PoC エクスプロイトを公開した。
１つ目のプラグインは、10万以上の Web サイトで使用されている、会員および購読を管理するツール Paid Memberships Pro である。
Tenable のポストには、「このプラグインは、/pmpro/v1/order REST ルートの ‘code’ パラメータを、SQL 文で使用する前にエスケープしていないため、未認証の SQL インジェクションの脆弱性につながる」と明らかにした。
この脆弱性 CVE-2023-23488 (CVSS 値 9.8：Critical) は、バージョン 2.9.8 未満のプラグインに影響を及ぼす。2022年12月27日に Paid Memberships Pro は、バージョン2.9.8 をリリースし、この脆弱性を修正している。
２つ目のプラグインは、５万以上のアクティブ・インストールを誇る、デジタル・ファイル販売用 eコマース・ソリューション Easy Digital Downloads である。
Tenable は、「このプラグインは、”edd_download_search” アクションの [s] パラメータを SQL 文内で使用する前にエスケープしないため、未認証の SQL インジェクション脆弱性につながる」と説明している。この脆弱性 CVE-2023-23489 (CVSS 値 9.8：Critical) は、2023年1月5日にリリースされた、バージョン 3.1.0.4 未満に影響を及ぼす。
３つ目のプラグインは、アンケートや市場調査のために、3000 の Web サイトで使用されている Survey Marker である。
この脆弱性 CVE-2023-23490 (CVSS 値 8.8) を悪用するためには、攻撃者がサブスクライバーとして認証されている必要がある。ただし、大半の Web サイトでは、訪問者が会員として登録できるようになっているため、この前提条件を満たすことは容易である。
Survey Markerは、Tenable が発見した SQL インジェクションに対して、最も早く対応したベンダーである。2022年12月21日にバージョン 3.1.2 で、この問題を修正している。
一連のプラグインには、いずれも SQL インジェクションの脆弱性が存在しており、PoC エクスプロイトも公開されている。ただし、攻撃に悪用された場合の影響については、Tenable では共有されていないとのことだ。ただし、これらのバグは Critical に分類されるため、これらのプラグインを使用している全てのサイトでは、最新版へのアップグレードが強く推奨される。
WordPress の人気プラグインである、Paid Memberships Pro／Easy Digital Downloads／Survey Marker に脆弱性が発見されたとのことです。最近の WordPress プラグインに関しては、以下の記事がありました。
2022/09/14：28万サイトに影響：WPGateway Plugin の深刻な脆弱性
2022/09/09：BackupBuddy のゼロデイ：500万回もの攻撃が試行
2022/08/30：大量の悪意のプラグインと感染経路が判明
よろしければ、WordPress で検索も、ご利用ください。
IoT OT Security News 
You must be logged in to post a comment.