こちらの記事は、セキュリティ専門家の松野によるニュース解説ラジオ「今日の10分セキュリティラジオ」の放送内容を文字に起こしご紹介しています。
独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は5月17日、WordPress用プラグインDownload Plugins and Themes from Dashboardにおけるパストラバーサルの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。(記事はこちら)
【お届けするニュースはサイバーセキュリティ専門ニュースサイト「ScanNetSecurity」の提供でお送りしています。】WordPressのプラグインに脆弱性が発見されています。ご利用中の方はアップデートを検討してください。発見された脆弱性の内容と、その対策について説明します。
今回の脆弱性は、WPFactory LLCが提供するWordPress用プラグインDownload Plugins and Themes from Dashboardにパストラバーサルの脆弱性が存在するというものです。影響を受けるシステムは、Download Plugins and Themes from Dashboard 1.8.6より前のバージョンです。影響として、switch_themes権限を持つ攻撃者によってサーバ上の任意のファイルを取得される可能性があるということです。
深刻度を表すCVSSv3の基本値は2.7で、4番目に高い「注意」とされています。脆弱性の詳細は、本脆弱性に割り当てられたCVE番号「CVE-2024-35162」で検索してみてください。
パストラバーサルとは、Webアプリケーションやプログラムの脆弱性を悪用した攻撃手法の一つです。開発者が想定する経路以外から、本来はアクセスできないはずのファイルや情報を取得されてしまうことで、システム内の情報が漏洩する可能性があります。
例えば、みなさんが自宅に入ろうとする際に、1階のオートロックを解除して、エレベーターに乗り、家の鍵を開けて、自分の部屋に入ることができると思います。しかし、1階のオートロックが壊れていたり、部屋の鍵をかけていなかったりした場合、非常階段を使ってベランダの窓から侵入することができてしまうかもしれません。
パストラバーサルも同様に、攻撃者は、Webサイトやプログラムの脆弱性を悪用して、本来はアクセスできないはずのファイルや情報に対して、不正にアクセスできる場合があります。その結果、Webサイトのパスワードなど、本来はアクセスできない機密情報を窃取することができた場合、システムが乗っ取られてしまう可能性があります。
パストラバーサル攻撃への対策として、ソースコードの修正と、ファイルシステムへのアクセス制限が挙げられます。
まず、脆弱性自体を修正するためには、ソースコードの修正が必要です。具体的には、ユーザーの入力に対するチェックを徹底し、不正な文字列や予期せぬ値が含まれていないことを厳格に検証するように修正します。検証方法は大きく分けて、決められた値のみを許可するホワイトリスト形式と、禁止された値を拒否するブラックリスト形式が挙げられます。
また、脆弱性が存在していても、ユーザーやプログラムがアクセスできるファイルやディレクトリを厳格に制限し、不必要なアクセスを遮断することで、脆弱性の影響を緩和することができる場合があります。具体的には、ファイルシステムのパーミッションを必要なアクセスのみに限定し、万が一、脆弱性のあるプログラムから任意のファイルにアクセスしても、読み取りできないように設定します。Webサイトであれば、Webアプリケーションから読み取れるファイルは、公開するWebコンテンツのみに限定するべきです。
今日の10分セキュリティラジオにて毎週月・水・金にセキュリティの最新ニュースを取り上げ解説を行っています。隙間の時間の情報収集にぜひお役立てください！
お見積り・ご相談など、お気軽にご相談ください
サイトTOPへ
