Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

公開済「WordPress 4.7.2」では深刻な脆弱性を修正 - 1週間遅れで情報開示

コンテンツマネジメントシステム(CMS)である「WordPress」の開発チームは、1月26日にセキュリティリリースとして公開した「WordPress 4.7.2」において、当初明らかにしていた脆弱性にくわえ、影響が大きい「コンテンツインジェクション」の脆弱性を修正していたことを明らかにした。

リリース当初、開発チームでは3件の脆弱性へ対処したと公表していたが、くわえて特権の昇格が生じる「REST API」の脆弱性1件についても修正していたことを明らかにしたもの。深刻な影響を及ぼすことから、情報開示をリリースより1週間遅らせたという。

問題の「REST API」は、「同4.7.0」以降においてデフォルトで有効になっている機能。今回修正された脆弱性を悪用することで、認証なくコンテンツを投稿したり、ページの内容を編集することが可能となる。

1月20日にSucuriが同脆弱性を報告したが、当時悪用は観測されておらず、開発チームでは同社や他ウェブアプリケーションファイアウォール(WAF)ベンダーと協調。攻撃へ対応するWAFのルール追加など作業を進めていた。

またリリース直前となる同月25日の時点で、WordPressのホスティングサービスやWAFにおいて脆弱性が悪用された形跡は確認されていなかったことから、自動アップデートによる適用が行われる期間をおいて、情報開示することに決めたという。

(Security NEXT - 2017/02/03 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

MS、定例外でセキュリティ修正パッチを公開 - 「Outlook」の脆弱性や不具合へ対処
MS、月例セキュリティ更新をリリース - 脆弱性54件を解消
「McAfee Web Gateway」に深刻な脆弱性 - アップデートを強く推奨
セキュアブレイン、インフラやウェブアプリの脆弱性診断サービス
2件の脆弱性を解消した「Joomla! 3.7.4」がリリース - 複数バグにも対応
WP向けプラグイン「Popup Maker」にXSSの脆弱性
「gSOAP」に脆弱性、2GB超の細工されたデータの処理で影響
CSSカスタマイズ用WordPressプラグインに脆弱性 - アップデートが公開
Apple、「macOS Sierra 10.12.6」などセキュリティアップデート
Apple、アップデート「iOS 10.3.3」をリリース - 脆弱性47件を修正