WordPress向けのGDPR対応プラグインに深刻な脆弱性 - 乗っ取りや改ざん被害が発生

Sucuriによると、WordPressで構築されたウェブサイトにおいて、特定のウェブサイトに誘導されるケースが多数存在することを確認。調査を行ったところ、同プラグインを導入しているサイトであることがわかったという。

問題のURLを含むサイトをGoogle検索で調べたところ、アップデートリリースの2日後に調べた時点で、すでに5000件以上が検索エンジン上へ登録されていた。

「URL設定」を変更されると、サイト内部で設定をもとにリンクを生成している場合、スクリプトや画像など読み込めなくなり、くわえて外貌サイトから不正なコンテンツを読み込むおそれがある。さらにログイン画面などにも問題が生じ、ログインができなくなる可能性もある。

また同社では、攻撃者によって不正に登録される管理者として、「t2trollherten」「t3trollherten」以外にも、「superuser」といったユーザー名が用いられるケースがあったとしている。

プラグインを開発するVan Onsでは、11月7日に「同1.4.3」をリリースして脆弱性へ対処するとともにアップデートを強く推奨。アップデートのリリース後、すぐに更新せず、同日以降同プラグインを利用していた場合は、侵害されている可能性もあるとして、不正な操作が行われていないか確認するよう呼びかけている。

（Security NEXT - 2018/11/19 ）ツイート

WordPress向けのGDPR対応プラグインに深刻な脆弱性 - 乗っ取りや改ざん被害が発生

関連リンク

PR

関連記事