公開済「WordPress 4.7.2」では深刻な脆弱性を修正 - 1週間遅れで情報開示
コンテンツマネジメントシステム(CMS)である「WordPress」の開発チームは、1月26日にセキュリティリリースとして公開した「WordPress 4.7.2」において、当初明らかにしていた脆弱性にくわえ、影響が大きい「コンテンツインジェクション」の脆弱性を修正していたことを明らかにした。
リリース当初、開発チームでは3件の脆弱性へ対処したと公表していたが、くわえて特権の昇格が生じる「REST API」の脆弱性1件についても修正していたことを明らかにしたもの。深刻な影響を及ぼすことから、情報開示をリリースより1週間遅らせたという。
問題の「REST API」は、「同4.7.0」以降においてデフォルトで有効になっている機能。今回修正された脆弱性を悪用することで、認証なくコンテンツを投稿したり、ページの内容を編集することが可能となる。
1月20日にSucuriが同脆弱性を報告したが、当時悪用は観測されておらず、開発チームでは同社や他ウェブアプリケーションファイアウォール(WAF)ベンダーと協調。攻撃へ対応するWAFのルール追加など作業を進めていた。
またリリース直前となる同月25日の時点で、WordPressのホスティングサービスやWAFにおいて脆弱性が悪用された形跡は確認されていなかったことから、自動アップデートによる適用が行われる期間をおいて、情報開示することに決めたという。
(Security NEXT - 2017/02/03 )
ツイート
関連リンク
PR
関連記事
I-O DATAのNAS製品「HDL-T」シリーズに深刻な脆弱性
SAMLライブラリ「samlify」に「クリティカル」脆弱性
米政府、脆弱性6件の悪用に注意喚起 - メールや社内チャットなども標的に
トルコ関与疑われる攻撃グループ、チャット製品にゼロデイ攻撃
「Kibana」にプロトタイプ汚染の脆弱性 - アップデートや緩和策
「Firefox」のJavaScript処理に脆弱性 - 重要度「クリティカル」
「Auth0」のSDKに脆弱性 - 各プラットフォーム向けにアップデート
「glibc」に深刻な脆弱性 - 2024年のアップデートで修正済み
多要素認証製品「Advanced Authentication」に脆弱性 - 4月更新で修正済み
「macOS」にアップデート - 多数脆弱性を解消