公開済「WordPress 4.7.2」では深刻な脆弱性を修正 - 1週間遅れで情報開示

コンテンツマネジメントシステム（CMS）である「WordPress」の開発チームは、1月26日にセキュリティリリースとして公開した「WordPress 4.7.2」において、当初明らかにしていた脆弱性にくわえ、影響が大きい「コンテンツインジェクション」の脆弱性を修正していたことを明らかにした。

リリース当初、開発チームでは3件の脆弱性へ対処したと公表していたが、くわえて特権の昇格が生じる「REST API」の脆弱性1件についても修正していたことを明らかにしたもの。深刻な影響を及ぼすことから、情報開示をリリースより1週間遅らせたという。

問題の「REST API」は、「同4.7.0」以降においてデフォルトで有効になっている機能。今回修正された脆弱性を悪用することで、認証なくコンテンツを投稿したり、ページの内容を編集することが可能となる。

1月20日にSucuriが同脆弱性を報告したが、当時悪用は観測されておらず、開発チームでは同社や他ウェブアプリケーションファイアウォール（WAF）ベンダーと協調。攻撃へ対応するWAFのルール追加など作業を進めていた。

またリリース直前となる同月25日の時点で、WordPressのホスティングサービスやWAFにおいて脆弱性が悪用された形跡は確認されていなかったことから、自動アップデートによる適用が行われる期間をおいて、情報開示することに決めたという。

（Security NEXT - 2017/02/03 ）ツイート