Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

WordPressのゼロデイ脆弱性、「報告拒絶された」と発見企業が主張

WordPressは、4月27日にセキュリティアップデート「同4.2.1」を急遽公開した。セキュリティベンダーによって実証コード(PoC)が公開されており、早急なアップデートが求められる。

20150428_ki_001.jpg
PoCを公開したKlikki Oy

4月23日に公開された「同4.2」を含む複数のバージョンに、クロスサイトスクリプティング(XSS)の脆弱性が存在することが判明したもの。フィンランドのセキュリティベンダーであるKlikki Oyが4月26日に実証コードを公開している。

同社によれば、2014年11月の時点で脆弱性を把握しており、WordPressの開発チームに対しては、メールやフィンランドの「CERT-FI(NCSC-FI)」を通じて開発チームへ連絡を取ろうとしたが返事がなく、バグバウンティプラットフォーム「HackerOne」経由での連絡についても、拒絶されたと主張している。

同社の説明では、今回の脆弱性が悪用されると、コメント閲覧時に悪意あるスクリプトが実行されるおそれがある。またデフォルトセッティングにおいて、ログインした管理者に対し攻撃が行われた場合は、「プラグイン」と「テーマの編集」によって任意のコードが実行させることが可能となるほか、管理者のパスワードを変更する、新しい管理者アカウントを作成するといった攻撃が可能だという。

(Security NEXT - 2015/04/28 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

「WordPress 6.5.2」が公開 - XSS脆弱性を修正
WP向けeラーニングプラグインに再度深刻な脆弱性が判明
「WordPress」に脆弱性 - 1月のアップデートで修正済み
WPプラグイン「LayerSlider」に深刻な脆弱性 - 発見者は報奨金最高額を獲得
WPとGoogleドライブを統合するプラグインに深刻な脆弱性
WP向けeラーニングプラグイン「MasterStudy LMS」に脆弱性
WPプラグイン「Network Summary」に深刻な脆弱性 - パッチ未提供
WordPress向け求人プラグインに脆弱性 - リモートよりコード実行のおそれ
「WordPress」向けのマルウェア対策やWAFプラグインに脆弱性 - 公開中止に
「WordPress」向けファイル管理プラグインにパストラバーサルの脆弱性