WordPressは、コアプラットフォームのコンポーネント、テーマ、REST API機能、コメント機能、XML-RPC、プラグイン管理機能に影響する11件の脆弱性に対応するメンテナンス・セキュリティアップデート「バージョン7.1.1」をリリースしました。
Cloudsecurity solutions
保存型のクロスサイトスクリプティング、認証済みユーザーによるパストラバーサル、認可バイパス、情報漏えいといった脆弱性がもたらしうる影響を踏まえ、サイト管理者には直ちにアップデートを行うことが強く推奨されています。
今回のリリースでは、コアのバグ修正17件、ブロックエディタの修正19件も含まれています。WordPress 7.1.1は短期サイクルのメンテナンスリリースですが、WordPress 7.2は12月にリリースされる見込みです。
WordPress 7.1.1で修正された11件のセキュリティ脆弱性
今回対応された中でも特に注目すべき脆弱性の一つが、wpautop()関数における保存型クロスサイトスクリプティング(XSS)です。この脆弱性は、サイトのモデレーターが投稿されたコメントを承認した場合に限り、未認証の訪問者がコメントを通じて悪意のあるスクリプトコンテンツを注入できてしまうというものです。
保存型XSSの脆弱性は、WordPressサイトにとって特に危険性が高いといえます。悪意のあるJavaScriptが、該当コンテンツを閲覧する管理者・編集者・訪問者のブラウザ上で実行されてしまう恐れがあるためです。
標的となるユーザーの権限レベルによっては、悪用が成功した場合、セッションの乗っ取り、不正な管理操作、コンテンツの改ざん、あるいは攻撃者が管理するページへのリダイレクトなどにつながる可能性があります。
今回のアップデートでは、カスタムヘッダーに対応した一部テーマに影響する保存型XSSの脆弱性にも対応しています。また、HTML APIに関する問題として、set_modifiable_text()関数において、攻撃者が急な閉じシーケンスを用いることでHTMLコメントから抜け出せてしまう不具合も修正されました。
もう一つの問題は、特殊に細工されたURLによって、WordPress.org上の非アクティブなテーマが自動的にインストール・プレビューされてしまうというものでした。勧告では悪用の詳細な手口は公開されていないものの、今回の修正により、標的型攻撃に悪用されかねない予期しないテーマ管理の経路が排除されています。
WordPress 7.1.1では、Anthropicが報告した、WP REST Templates Controllerにおける認証済みユーザーによるパストラバーサルの脆弱性も解消されています。パストラバーサルの脆弱性は、../のようなシーケンスを用いてファイルパスを操作されることで、アプリケーションの制御が不十分な場合に、意図しないファイルやディレクトリへのアクセスを許してしまう可能性があります。
Anthropicはさらに、権限の低い認証済みユーザーが、本来許可されているはずのない範囲の投稿を上書きできてしまう脆弱性も報告しており、複数の執筆者が関わるサイトにおいて編集の完全性を損なうリスクとなります。
このほかの認可関連の修正には、XML-RPCリクエストによってedit_css権限のチェックを回避しながらcustomize_changeset投稿を公開できてしまう脆弱性が含まれます。また、サイト管理者がインストール済みのネットワーク限定プラグインをネットワーク有効化できてしまう問題も修正されました。
今回のアップデートでは、attachment_submitbox_metadata()関数においてread_post権限のチェックが欠落していた問題も修正されています。この脆弱性により、非公開の親投稿のタイトルが添付ファイルのメタデータを通じて露出してしまう可能性がありました。
さらにWordPressは、下書きまたは公開待ちの投稿スラッグが、投稿者(Contributor)以上の権限を持つユーザーに漏えいしてしまう認可チェックの欠落にも対応しました。これらの投稿スラッグは一見リスクが低いように思えますが、公開予定の記事やキャンペーン名、製品発表、あるいは機密性の高い編集情報を明らかにしてしまう可能性があります。
このほか、認証済みのすべてのユーザーが、内部メモを含むコメントの親を変更できてしまう問題もありました。これはモデレーションのワークフローに影響を及ぼし、議論の文脈が露出したり誤った位置に配置されたりする恐れがあります。
管理者は、WordPress.orgからWordPress 7.1.1をダウンロードするか、ダッシュボードの「更新」から「今すぐ更新」を選択することでインストールできます。バックグラウンドでの自動アップデートが設定されているサイトでは、自動的にパッチが適用されるはずです。
WordPressの発表によると、必要に応じて、サポート対象のレガシーブランチ(バージョン4.7まで)にもセキュリティ修正がバックポートされる予定です。サイト運営者は、自身の導入バージョンを確認し、管理者アカウントを見直したうえで、コアと合わせてプラグインやテーマも確実にアップデートしておく必要があります。
Cloudsecurity solutions
SOCのアラート調査時間を1件あたり21分短縮。即座のIOCコンテキストで迅速な対応を実現するSOC強化策: TI LookupをSOCに統合する
翻訳元: https://gbhackers.com/wordpress-7-1-1-fixes-11-security-flaws/
