この脆弱性はWordPressコアのREST Batch APIに影響し、未認証の攻撃者が脆弱なサイト上でコードを実行できる状態にあります。
WordPressの最新バージョンを稼働させている組織に対し、同プラットフォームに組み込まれたREST Batch APIに影響を及ぼす、認証前リモートコード実行(RCE)の脆弱性の詳細が明らかになり、パッチ適用が呼びかけられています。
「wp2shell」と名付けられたこの脆弱性により、攻撃者はプラグインや認証、特別な設定を必要とせず、デフォルト設定のWordPressインストールに対して任意のコードを実行できてしまいます。
Searchlight CyberのAdam Kues氏がこの問題を最初に報告し、リスクを評価するためのチェッカーを公開しました。ただし技術的な詳細については、パッチが提供され管理者が適用するための十分な時間が確保されるまで公表を控えていました。
Hadrianが公開した技術分析によると、研究者らは7月17日にリリースされたWordPressのセキュリティパッチから根本原因を再構築しました。この脆弱性は、コアのREST APIバッチエンドポイント「batch/v1」内に存在しており、リクエスト検証中のインデックス処理の不整合により、リクエストオブジェクトとそれに関連する権限チェックとの間にずれが生じる可能性があるとのことです。
その結果、細工されたバッチリクエストが誤った認可コンテキストの下で処理されてしまい、最終的にリモートコード実行につながる恐れがあります。
「この不具合に到達した攻撃者は、Webサーバー上で未認証のコード実行が可能になります」と研究者らは述べています。「実際には、サイトとそのコンテンツを完全に制御できるだけでなく、データベースやそこに保存されている認証情報・個人データへのアクセス、さらには周辺のホスティング環境への侵入経路も得られることを意味します」
この問題はWordPress 6.9.0から6.9.4まで、および7.0.0から7.0.1までのバージョンに影響します。Hadrianによると、バージョン6.9.5と7.0.2には修正が含まれており、6.8.6には同様の堅牢化対策が含まれていますが、それ以前の6.8.x系のリリースはこの特定の脆弱性の影響を受けないとのことです。
脆弱なコンポーネントはWordPressコアの一部であり、REST Batch APIはデフォルトで有効になっているため、REST APIを公開している影響を受けるサイトはすべて攻撃者にとって到達可能な状態にある可能性があります。研究者らによると、このエンドポイントは「/wp-json/batch/v1」と代替パスの「?rest_route=/batch/v1」の両方を通じてアクセス可能であり、書き換えルールが設定されていない環境でも同様だとしています。
Hadrianは、直ちにWordPress 6.9.5または7.02にアップグレードし、更新が正常に完了したことを確認するよう推奨しています。また、すぐにパッチを適用できない場合には、WebサーバーおよびWAFを通じて、両方のREST Batch APIエンドポイントへの不正アクセスをブロックするよう勧めています。
組織に対しては、ステージング環境や忘れられたキャンペーンサイトも含め、稼働中のWordPress環境をすべて棚卸しし、自らの環境においてREST APIへの外部アクセスが本当に必要かどうかを見直すことも推奨されています。
