CVE-2024-1071 WordPress プラグインの脆弱性

200,000 以上のアクティブインストールを誇り、広く使用されている WordPress プラグインである Ultimate Member に重大なセキュリティ脆弱性が明らかになりました。 CVE-2024-1071 として識別されるこの欠陥は、10 点中 9.8 という高い CVSS スコアを獲得しており、セキュリティ研究者の Christiaan Swiers によって発見および報告されました。 WordPress セキュリティ会社である Wordfence による最近のアドバイザリーで詳しく説明されているように、このプラグイン (バージョン 2.1.3 ～ 2.8.2) は、ユーザー指定のパラメーターのエスケープが不十分であり、準備が不十分なため、「sorting」パラメーターを介した SQL インジェクションの影響を受けやすくなっています。既存の SQL クエリ。

この抜け穴は、認証されていない攻撃者によって悪用され、現在のクエリに追加の SQL クエリが挿入され、データベースから機密データが抽出される可能性があります。この問題は、プラグイン設定で [ユーザーメタのカスタム テーブルを有効にする] オプションを選択したユーザーに影響することに注意することが重要です。

2024 年 1 月 30 日に責任ある開示が行われた後、プラグイン開発者は 2 月 19 日にバージョン 2.8.3 をリリースすることでこの脆弱性に直ちに対処しました。特に Wordfence が既に阻止されていることを考慮すると、潜在的なリスクを最小限に抑えるためにプラグインを直ちに最新バージョンに更新することを強くお勧めします。過去 24 時間以内にこの欠陥を悪用しようとする攻撃が 1 件発生しました。

2023 年 7 月に、同じプラグインの同様の脆弱性 (CVE-2023-3460、CVSS スコア: 9.8) が攻撃者によって積極的に悪用されたことは注目に値します。この欠陥を悪用すると、攻撃者は無許可の管理者ユーザーを作成し、脆弱なサイトを制御することができました。

脆弱性に対する統合 CVE 評価システムとは何ですか?

Common Vulnerability Scoring System (CVSS) は、ソフトウェア システムの脆弱性の重大度を評価して伝達するために使用される標準化されたスコアリング システムです。これは、組織や個人がセキュリティの脆弱性の影響を評価するための共通のフレームワークを提供します。 CVSS はベンダーに依存しないように設計されており、サイバーセキュリティ コミュニティで広く採用されています。

CVSS は、脆弱性の悪用可能性、影響を受けるシステムの機密性、完全性、可用性への影響、脆弱性の悪用にユーザーの操作が必要かどうかなど、さまざまな要素に基づいて脆弱性に数値スコアを割り当てます。スコアの範囲は 0 ～ 10 で、スコアが高いほど脆弱性が深刻であることを示します。

CVSS はいくつかのバージョンを経て、2022 年 1 月の私の知識限界時点での最新バージョンは CVSSv3.1 です。以前のバージョンと比較して、より洗練された正確な脆弱性評価を提供します。

一方、「Common Vulnerabilities and Exposures」(CVE) システムは、公開された脆弱性に CVE ID と呼ばれる一意の識別子を割り当てる別の取り組みです。 CVE システムは、それ自体では重大度スコアを提供しません。代わりに、脆弱性を一意に識別して評価するために、CVSS と組み合わせて使用されることがよくあります。