WordPress Plugin Flaw Exposes 200,000+ Websites To XSS Attacks
2024/03/12 GBHackers — WordPress の Ultimate Member Plugin に、XSS (Cross-Site Scripting) 脆弱性 CVE-2024-2123 が発見された。現時点において、200,000 以上の Web サイトが、この脆弱性の脅威に晒されていることが分かった。stealthcopter という研究者により発見された、この脆弱性が浮き彫りにするのは、デジタル・エコシステムにおけるリスクであり、また、Wordfence のような Web を保護するサイバー・セキュリティ企業の重要な役割である。
脆弱性の発見と公開
stealthcopter は、Wordfence Bug Bounty Extravaganza の期間中に、Ultimate Member plugin の蓄積型 XSS 脆弱性の詳細を報告した。
このプラグインは、WordPress サイトのユーザー・プロファイル／登録／会員管理のために設計されたものであり、200,000 以上のアクティブなインストールを誇っているため、この脆弱性の潜在的な影響は相当なものである。
WordPress サイト向けの主要セキュリティ・サービスである Wordfence は、この脆弱性の発見者である Stealthcopter に対して $563 の報奨金を支払った。
Wordfence は、この脆弱性を検証して、Ultimate Member チームに開示した。この、同社の迅速な行動は、Web の安全確保に対する同社のコミットメントを体現している。この脆弱性については、2024年3月6日までにパッチがリリースされ、数百万人のユーザーのリスクが軽減された。
技術的詳細
この脆弱性は Ultimate Member plugin 2.8.3 以下に存在しており、悪用に成功した攻撃者は、いくつかのパラメータを介して、悪意のスクリプトを Web ページに注入できるようになる。このプラグインのメンバー・ディレクトリ・リスト機能において、入力のサニタイズと出力のエスケープが不十分であることに、脆弱性 CVE-2024-2123 は起因する。
プラグインのコードを調査したところ、テンプレート・ファイルにおいて、ユーザー表示名がエスケープされずに表示されており、攻撃者が認証されていないユーザーとして登録する際に、悪意のスクリプトを含む名前を入力できることが判明した。
それにより攻撃者は、管理ユーザーの追加／有害サイトのリダイレクト／テーマやプラグイン ・ファイルへのバックドアの注入などの、さまざまな悪意の行為が可能になる。
この脆弱性の発見は、Web サイト管理者による定期的なアップデートと、念入りなセキュリティ対策の重要性を物語っている。
脆弱なバージョンの Ultimate Member Plugin を使用しているサイトは、認証されていない攻撃者に悪用される危険性があり、無許可の管理者アクセスや、さらなる侵害につながる可能性がある。
Wordfence ファイアウォールに、XSS 保護機能を組み込むことでも、この脆弱性への対処は完了する。その対象には、Wordfence Premium／Wordfence Care／Wordfence Response のユーザーだけでなく、無料版のユーザーも含まれる。
Ultimate Member Plugin の XSS 脆弱性に対する、迅速な特定／報告／パッチ適用は、デジタル・ランドスケープの保護における、サイバー・セキュリティ研究者と開発者の協力的な取り組みを証明するものである
このプロセスにおける Wordfence の役割は、Web セキュリティに対する同社のコミットメントを強調するだけではなく、予防的なセキュリティ対策と定期的なソフトウェア・アップデートの重要性を再認識させてくれる。
WordPress サイトの所有者に推奨されるのは、Ultimate Member のパッチが適用された最新バージョン 2.8.4 への更新であり、それにより、潜在的な悪用からの保護が達成される。
昨日である 2024/03/11 には、「WordPress Statistics Plugin の脆弱性 CVE-2024-2194 が FIX：60万のサイトが危険な状態」とうい記事がありました。どちらも、多数のサイトで使われているものであり、影響が心配されるところです。よろしければ、WordPress で検索も、ご利用ください。
IoT OT Security News 
You must be logged in to post a comment.