WordPressは水曜日、認証済みの攻撃者がリモートで任意のコードを実行できる深刻度の高い脆弱性に対するパッチを発表しました。
CVE-2026-65640(CVSSスコア8.8)として追跡されているこのセキュリティ上の欠陥は、悪意のあるPostscriptファイルのアップロードを通じて、Author権限以上を持つ攻撃者に悪用される恐れがあります。
WordPressのアドバイザリによると、この問題はImagickとGhostscriptを使用しているインストール環境のみに影響し、Ghostscriptにおける特定の埋め込みファイルの処理過程で発見されました。悪用を成功させるには、攻撃者がファイルアップロード権限を持っている必要があります。
「脆弱性を修正したWordPressバージョン7.0.4がリリースされました。また、旧バージョンのブランチを利用しているユーザーへの配慮として、この修正は4.7まで遡ってすべてのブランチにバックポートされています」と、このWebコンテンツ管理システムのメンテナーは発表しています。
この脆弱性は、ImageMagick(Imagick拡張機能を介して)とWordPressがさまざまな種類のファイルを処理する方法に起因しています。脆弱性管理企業のPatchstackは説明の中で、ImageMagickはファイルの中身を見るのに対し、WordPressはファイル拡張子を見ていると解説しています。
WordPressはアップロードされたファイルを拡張子に基づいてImageMagickに渡しますが、ImageMagickは中身を確認し、PostScriptが検出されるとGhostscriptを呼び出してレンダリングを行います。
これにより、攻撃者はPostScriptを含むPNGファイルをアップロードでき、そのファイルはGhostscript上でPostScriptプログラムとして実行されてしまいます。WordPressにはコンテンツをチェックする機能が備わっているものの、一部のアップロード方法ではこのチェックが行われないため、悪用の余地が生まれているとPatchstackは指摘しています。
WordPressは、Imagickにファイルを渡す前に中身をチェックするようload()関数を修正することで、このセキュリティ上の欠陥に対処しました。この修正により、PostScriptの実行を防ぐとともに、攻撃者がファイル名を利用してImagickにGhostscriptを使わせるよう仕向けることも防止されます。
「複数の著者が投稿するメディアサイトや会員制サイト、寄稿者のいるクライアントサイト、あるいは登録が自由または管理が緩いサイトなどを運営している場合、[…]Authorが罠を仕掛けた『画像』をアップロードするというのは、理論上の脅威ではなく、現実に起こりうる本物の脅威です」とPatchstackは指摘しています。
翻訳元: https://www.securityweek.com/wordpress-7-0-4-patches-remote-code-execution-vulnerability/
