WordPressプラグインの脆弱性、40,000件のサイトが管理者アカウント乗っ取りの危険にさらされる

WordPressプラグインの脆弱性に関する関連記事: Everest Forms Proの脆弱性によりWordPressサイトでリモートコード実行が可能に

型の取り違えが管理者アカウント乗っ取りを可能にする

この問題は、プラグインの登録処理および自動ログイン処理における型の取り違え（type confusion）エラーに起因します。WordPress向けセキュリティプラグインを提供するWordfenceによると、アカウント作成処理が失敗した際に、プラグインがエラーの有無を確認する前にその結果を整数値に変換してしまう不具合があったとのことです。

この処理により、脆弱なコードは登録失敗という結果を、実際にはユーザーID「1」として扱ってしまいます。その後の自動ログイン処理では、そのアカウントに紐づいた認証トークンが生成されてしまうため、認証されていない攻撃者であっても、影響を受けるサイトの管理者セッションを取得できる可能性があります。

攻撃者が管理者権限の取得に成功した場合、サイトのコンテンツを改ざんしたり、新たな管理者アカウントを追加作成したり、悪意のあるプラグインやテーマをインストールしたり、機密情報にアクセスしたりする恐れがあります。

ただし、ここで説明した乗っ取りの手口は、サイトの設定条件に依存します。管理者のユーザーIDが「1」であること、かつ登録後の自動ログイン機能が有効になっていることが条件となるため、すべてのインストール環境で同じように深刻な悪用経路が存在するわけではありません。

Wordfenceは7月14日にこの脆弱性の報告を受け、翌日にはその内容を検証・確認しました。

User Profile BuilderはCozmoslabsが開発しているプラグインで、同社は報告を受けて対応し、7月16日にこの問題を修正したバージョン3.16.5をリリースしました。

影響を受けるサイトの運営者は、User Profile Builderをバージョン3.16.5以降に速やかにアップデートすることが当面の対処法となります。