CVE-2024-5522 (CVSS 10): Critical Security Flaw Threatens Thousands of WordPress Sites
2024/05/31 SecurityOnline — 人気の WordPress HTML5 Video Player プラグインに、深刻なセキュリティ脆弱性 CVE-2024-5522 (CVSS：10) が発見された。この脆弱性の悪用に成功した、認証されていない攻撃者は、Web サイトのデータベースへ向けた、SQL インジェクションが可能になるため、機密情報の漏えいが生じ、サイトの完全性が損なわれる可能性がある。この脆弱性は、WPScan のセキュリティ研究者 Mayank Deshmukh により発見／報告された。
脆弱性 CVE-2024-5522 が存在するプラグイン HTML5 Video Player は、ユーザーがレスポンシブな HTML5 動画を、シームレスにサイトへと埋め込むためのツールである。このプラグインは、30,000 件以上もインストールされているため、多数の WordPress Web サイトに深刻なリスクが生じている。
この脆弱性 CVE-2024-5522 (CVSS：10.0) は、不十分な入力検証と SQL クエリの不適切な処理に起因するものであり、SQL インジェクションの脆弱性に分類される。
この脆弱性の悪用に成功した攻撃者は、プラグインのデータベースとのインタラクションが可能になり、任意の SQL クエリを実行できるようになるため、以下のような悪意のアクションを実行する可能性を手にする：
- 機密情報の取得：ユーザー認証情報／財務情報／専有データなどの機密情報の不正取得。
- Web サイトのコンテンツの改ざん：Web ページの改ざん／悪意のサイトへ向けた訪問者のリダイレクト／有害なコードの注入など。
- サイトの機能性の侵害：Web サイト運営の妨害／バックドアの設置／サイトの完全制御など。
HTML5 Video Player プラグインの、バージョン 2.5.26 以下が、この脆弱性の影響を受ける。ユーザーに対して強く推奨されるのは、最新バージョン 2.5.27 へとプラグインを直ちにアップデートし、この問題に対処することである。また、アップデートが不可能な場合には、修正プログラムが利用可能になるまで、プラグインを一時的に無効化／削除することを検討してほしい。
この HTML5 Video Player プラグインは、30,000 件以上のインストール数を誇るとのことです。ご利用のチームは、早急なパッチ適用を、ご検討ください。なお、WPScan のアドバイザリには、”The PoC will be displayed on June 13, 2024, to give users the time to update” と記載されていました。よろしければ、WordPress で検索も、ご利用ください。
IoT OT Security News 
You must be logged in to post a comment.