Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

WP向けファイル管理プラグインに深刻な脆弱性 - ゼロデイ攻撃も

コンテンツマネジメントシステム(CMS)の「WordPress」向けに提供されているプラグイン「File Manager」に深刻な脆弱性が含まれていることがわかった。

同プラグインは、WordPress上でファイル管理が行えるプラグイン。認証なしに悪意のあるファイルを特定ディレクトリにアップロードし、コマンドの実行が可能となる脆弱性が判明した。

同脆弱性を解析したDefiantによれば、オープンソースのライブラリを適切に導入していないことに起因しており、共通脆弱性評価システム「CVSSv3」のベーススコアを最高値である「10」と評価している。

同社では、9月1日に外部より不審なファイルアップロードについて報告があり、調査を行ったところ、脆弱性を発見した。アップデートが公開される数日前より複数のIPアドレスより脆弱性を狙った攻撃が展開されており、同社による検知数だけで45万回以上にのぼるという。攻撃では「x」や「hard」といった文字列ではじまる空のファイルについてアップロードを試みており、脆弱性を探索しているものと見られる。

プラグインの開発者は、同じく9月1日に脆弱性へ対処した最新版となる「同6.9」をリリースしている。また同プラグインに関しては、これとは別に「同6.4」以前でプラグインにより取得したバックアップを保存するディレクトリが適切に保護されておらず、情報漏洩が生じるおそれがある脆弱性「CVE-2020-24312」が明らかとなっている。

(Security NEXT - 2020/09/03 ) このエントリーをはてなブックマークに追加

PR

関連記事

セキュリティ啓発で警視庁と小島よしおさんがコラボ
偽日本郵便の詐欺メールに注意 - 誘導先ドメインに「paypay」の文字列
クラウドのシステムが暗号化され脅迫受ける、詳細は調査中 - ベルパーク
雑貨通販サイトに不正アクセス - 偽決済画面でクレカ情報の窃取被害
脆弱性調査で個人情報が外部サービスに残存 - LINE
【不正チャージ問題】金融機関口座の取引履歴、「合算」表示に注意を
カスタマイズ可能なフィッシングの模擬演習サービス- エフセキュア
クリック時にクイズで教育するフィッシングトレーニング - 仏Vade
「ドコモ口座」経由の不正チャージ、被害申告が200件超に
脆弱性「Zerologon」の悪用確認 - 侵害封じ込めが困難に、影響多大のため早急に対策を