Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

公開済「WordPress 4.7.2」では深刻な脆弱性を修正 - 1週間遅れで情報開示

コンテンツマネジメントシステム(CMS)である「WordPress」の開発チームは、1月26日にセキュリティリリースとして公開した「WordPress 4.7.2」において、当初明らかにしていた脆弱性にくわえ、影響が大きい「コンテンツインジェクション」の脆弱性を修正していたことを明らかにした。

リリース当初、開発チームでは3件の脆弱性へ対処したと公表していたが、くわえて特権の昇格が生じる「REST API」の脆弱性1件についても修正していたことを明らかにしたもの。深刻な影響を及ぼすことから、情報開示をリリースより1週間遅らせたという。

問題の「REST API」は、「同4.7.0」以降においてデフォルトで有効になっている機能。今回修正された脆弱性を悪用することで、認証なくコンテンツを投稿したり、ページの内容を編集することが可能となる。

1月20日にSucuriが同脆弱性を報告したが、当時悪用は観測されておらず、開発チームでは同社や他ウェブアプリケーションファイアウォール(WAF)ベンダーと協調。攻撃へ対応するWAFのルール追加など作業を進めていた。

またリリース直前となる同月25日の時点で、WordPressのホスティングサービスやWAFにおいて脆弱性が悪用された形跡は確認されていなかったことから、自動アップデートによる適用が行われる期間をおいて、情報開示することに決めたという。

(Security NEXT - 2017/02/03 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

ウェブブラウザ「Vivaldi」のWindows版インストーラに脆弱性
「ColdFusion」に複数の脆弱性 - ホットフィクスをリリース
バッファローのネットワークカメラ「WNC01WH」に脆弱性
Oracle、定例更新で「Java SE」の脆弱性8件を修正
Oracleが定例パッチをリリース - 脆弱性299件に対応
「Drupal」のRESTモジュールに深刻な脆弱性 - 影響考慮し非サポート版向けにも更新
帳票ツール「風神レポート」のビューアソフトに脆弱性
IIJ製ルータ「SEILシリーズ」にサービス拒否の脆弱性 - 修正版ファームウェアが公開
「花子」など複数のジャストシステム製品に脆弱性 - 悪用は未確認
VMware、「Workstation」など複数製品に深刻な脆弱性