Woffice WordPress Theme の脆弱性 CVE-2024-43153／43234 が FIX：15k のサイトが危険な状態に

Over 15,000 Sites at Risk: Woffice WordPress Theme Vulnerabilities Could Lead to Full Site Takeovers

2024/12/13 SecurityOnline — プレミアムなイントラネット／エクストラネット・ソリューションとして人気の WordPress テーマである Woffice に、２つの重大な脆弱性が存在することが、Patchstack により発見された。Xtendify が開発した Woffice テーマは、チーム／プロジェクト管理機能を提供する、高度なビジネス・ワークフローのテーマとして人気を博しており、15,000以上の販売実績を誇る。しかし、新たに発見された脆弱性により、影響を受ける Web サイトに重大なセキュリティ・リスクが生じている。

Patchstack が発見した２つの脆弱性は、テーマの機能に必要な Woffice Core プラグインに存在する。それぞれの脆弱性の詳細は以下の通りだ：

1. CVE-2024-43153 (CVSS 9.8)：特権昇格の脆弱性。この脆弱性は、inc/classes/Woffice_Register.php ファイル内の、registration 機能に存在する。Woffice のカスタム・ログイン・オプション (自動ログインやフォームのロールフィールドなど) が有効化されているケースにおいて、攻撃者は $_POST[“reg_role”]  パラメータに任意のロールを送信し、高い権限を取得できる。この脆弱性の悪用に成功した未認証の攻撃者は、影響を受ける Web サイト上の、あらゆるロール (特権の高い管理者権限を含む) を登録できるようになる。Patchstack のレポートには、「この脆弱性により、攻撃者が Web サイトを完全に乗っ取り、サーバに悪意のコードをインストールする可能性がある」と記されている。
2. CVE-2024-43234 (CVSS 4.3)：認証を必要としないアカウント乗っ取りの脆弱性。この脆弱性は、認証メカニズムのの悪用に成功した攻撃者は、承認を必要とすることなく、任意の既存ユーザーとしてのログインを可能にする。この脆弱性は、同じ Woffice_Register.php ファイル内の register_redirect 関数に関連している。カスタム登録ページから WofficeRegisterRedirect security nonce を抽出し、既存のユーザー ID にノンスと $_POST['user_id'] (例えば、管理者用に1) を、設定したリクエストを送信することで、攻撃者は不正アクセスを可能にする。

これらの脆弱性が悪用されると、サイト全体が侵害され、悪意のコードが展開され、ユーザー企業に評判や金銭的な損失が生じる可能性がある。

すでに Woffice の開発元である Xtendify は、バージョン 5.4.12／5.4.15 をリリースし、これらの脆弱性に対応している。ユーザーに対して推奨されるのは、可能な限り早急に、バージョン 5.4.15 以降へとアップグレードすることだ。

WordPress の脆弱性の大半は、テーマとプラグインに発生します。本体である Core と比べて、割り振られる役割が多岐にわたり、小規模なベンダーも多いので、どうしてもセキュア・コーディングが疎かになるのでしょう。それは、WordPress に限ったことではなく、他のプラグインに対しても言えることであり、また、エンタープライズのサードパーティに対しても言えることです。エコシステムが大きくなれば、その分だけ穴が大きくなるのは、仕方のないことだと思います。よろしければ、WordPress で検索も、ご参照ください。