Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

熊本競輪でサイト改ざん - 原因はWPプラグイン「FancyBox」の脆弱性

熊本市が運営する熊本競輪のウェブサイトが不正アクセスを受け、改ざんされていたことがわかった。WordPressプラグインにおける既知の脆弱性が攻撃を受けたという。

同市によれば、脆弱性を狙った不正アクセスが2月19日にあり、サイトの改ざんが発生。関係ない外部サイトのデータを読み込む状態だった。

期間中に967人がアクセスしているが、すでに読み込まれる外部サイトは閉鎖されており、具体的な影響はわかっていない。被害の報告などは寄せられていないが、閲覧によってマルウェアなどへ感染している可能性もある。

今回脆弱性が突かれたのは、同サイトでコンテンツマネージメントシステム(CMS)として利用しているWordPressで活用していたプラグインの「FancyBox」。

同プラグインは、コンテンツやスクリプトが挿入される深刻な脆弱性「CVE-2015-1494」が存在。ゼロデイ攻撃による改ざん被害が2月に入って判明し、2月4日に修正版がリリースされている。

同市は、脆弱性への対応が遅れたことが原因のひとつであると説明。修正した上で、23日19時過ぎよりウェブサイトを再開している。

(Security NEXT - 2015/02/25 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

関連機関サイトに不正アクセス、CMSに不正プラグイン - 富山県立大
WP向けプラグイン「WP User Frontend」に深刻な脆弱性 - PoC公開済み
EGセキュア、クラウド型WAFサービスを提供 - CMS向け設定や国別フィルタも
「WordPress」のOAuth認証プラグイン2件に認証回避の脆弱性
WP向け人気フォームプラグインの関連プラグインにCSRFの脆弱性
WP向けプラグイン「Modern Events Calendar Lite」に脆弱性 - 修正されるもWordPress.orgでの提供は中止に
WordPress向け連絡先管理プラグインに深刻な脆弱性
WP向けアクセス解析プラグインにXSSの脆弱性
WordPress向けのテーマやプラグイン「Jupiter」に深刻な脆弱性
WordPressのデザインを制御する人気プラグインに深刻な脆弱性