asVereinbase、認証なしで管理者ログイン可能 修正版1.1.8あり
WordPress用プラグイン asVereinbase の 1.1.8 より前の版に、パスワードも本物の第2要素も確認せずにログインを許してしまう欠陥が見つかりました。インターネットから誰でも、管理者を含む任意の利用者になりすませる可能性があります。修正版 1.1.8 が出ているため、使用中のサイトは早急に更新し、あわせて管理者アカウントの状況を確認してください。
急ぎ度: 至急
認証なしで管理者として入られる可能性があり、CVSSは9.8と最高水準で、修正版もすでに公開されているためです。
関係があるか
WordPressサイトでasVereinbaseプラグインを有効にしている組織が対象です。サイトがインターネットから到達できる場合は、特に影響を受けやすくなります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| asVereinbase(WordPress プラグイン) | 1.1.8より前のすべての版（影響を受ける最も古い版は公表されていません） | 1.1.8 |
確かめ方
- 1WordPressの管理画面で「プラグイン」→「インストール済みプラグイン」を開き、asVereinbaseの版が1.1.8未満でないか確認します。
- 2複数のサイトを管理している場合は、各サイトでWP-CLIを使い、プラグイン一覧からasVereinbaseの版を確認します。
- 3プラグインを無効にしていても、サイトに導入されたままなら更新の対象に含めてください。
- 4管理者権限のアカウントに、心当たりのないものが無いかを確認します。見慣れない時間帯や接続元からのログインが無いかも、ログで見直します。
何が起きたか
WordPress用プラグインasVereinbaseに、ログイン時の本人確認が正しく働かない欠陥が見つかりました。1.1.8より前の版では、パスワードも本物の第2要素（二段階認証）も確認されないまま、ログインが成立してしまいます。認証を受けていない外部の人が、管理者を含む任意の利用者としてサイトに入れる可能性があります。
例えるなら、暗証番号が未登録の金庫に、何も入力しなくても扉が開いてしまう状態です。
技術的には、サーバー側に保存されている照合用の値が空の場合に、それを「一致した」と扱ってしまう実装上の誤りです。分類はCWE-287（不適切な認証）です。パスワードの強さや二段階認証の設定の有無にかかわらず、確認そのものが成立しているため、利用者側の設定では防げません。
修正版1.1.8が公開されています。深刻度はCVSS v3.1で9.8(Critical)です。
攻撃の流れ
-
1
サイトを特定
インターネットから到達できるWordPressサイトで、該当プラグインが使われているものを探します。
-
2
ログインを要求
認証を受けていない外部の人が、対象の利用者としてログインを試みます。
-
3
確認を通過
照合用の値が空の場合に一致と扱われ、パスワードも第2要素も確認されないまま認証が成立します。
-
4
管理者として操作
管理者になりすませた場合、サイトの設定や内容を自由に変更できる状態になります。
どう悪用されるか
悪用に必要な条件は少なく、CVSSのベクターでも、ネットワーク経由で（AV:N）、複雑な条件なしに（AC:L）、事前の認証なしで（PR:N）、利用者の操作も不要（UI:N）とされています。サイトが外部から到達できて、該当の版のプラグインが有効であれば、対象になり得ます。
悪用された場合、管理者アカウントに入られることで、機密性・完全性・可用性のすべてに大きな影響が出ます。具体的には、登録されている情報の閲覧や持ち出し、投稿や設定の改ざん、別のプラグインやコードの追加によるサイトの乗っ取り、といった被害が想定されます。
実際の攻撃で悪用されたかどうかは、現時点で公表されていません。ただし、条件の少なさと深刻度を考えると、公表後に悪用が始まる可能性は十分にあります。
今すぐやること
-
1
asVereinbaseを1.1.8に更新する
管理画面のプラグイン画面、またはWP-CLIで更新します。本番環境では事前にバックアップを取り、更新後に主要な機能が動くことを確認してください。
wp plugin list --name=asVereinbase --fields=name,status,version -
2
管理者アカウントを点検する
管理者権限を持つアカウントの一覧を確認し、身に覚えのないアカウントや、最近追加・変更されたものが無いかを調べます。
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered -
3
ログイン履歴とアクセスログを見直す
公表以前のものも含め、不審な時間帯や接続元からのログイン、管理画面への不自然なアクセスが無いかを確認します。ログを保存していない場合は、その前提で影響範囲を判断してください。
-
4
不審な形跡があれば初動対応を行う
管理者のパスワードを変更し、既存のログインセッションを無効にします。あわせて、導入済みのプラグイン・テーマ・ファイルに、見覚えのない追加や変更が無いかを確認し、必要なら復旧や専門業者への相談を検討してください。
すぐ更新できないとき
すぐに更新できない場合は、プラグインを無効化するのが最も確実です。ただし、プラグインの機能は使えなくなります。無効化できない場合は、WAFやWebサーバーの設定で、管理画面やログインへのアクセスを社内ネットワークなど限られた接続元に絞ることで、リスクを下げられる場合があります。ただし、この欠陥に対する効果は確認されていないため、一時的な緩和策として扱い、更新までの期間を短くしてください。
背景
WordPressのプラグインは、サイトに会員管理や予約などの機能を足す仕組みで、サイトの運営には欠かせない一方、プラグインごとに品質や更新の頻度が異なります。そのため、サイト本体は最新でも、プラグインの欠陥から侵入される例は珍しくありません。
ログインの確認を回避できる欠陥は、成立すれば管理者権限を直接得られるため、特に危険度が高い種類です。管理者はプラグインやテーマの追加といった、サイトの動作そのものを変える操作ができるので、一度入られると被害が広がりやすくなります。
よくある質問
Q.二段階認証を有効にしていれば安全ですか。
Q.パスワードを強くすれば防げますか。
Q.プラグインを無効にしていても対象ですか。
まだ分かっていないこと
- 実際の攻撃で悪用されたかどうか、攻撃コードが公開されているかどうかは公表されていません。
- 影響を受ける最も古い版は明らかになっていません。「1.1.8より前」とされているため、旧版を使っている場合はすべて対象として扱ってください。
- どの設定や条件で第2要素の確認が省かれるかなど、詳しい仕組みは公表されていません。最新の情報はWPScanやGitHub Advisoryの告知で確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| CVE | asVereinbase |
1.1.8 未満 |
1.1.8 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
The asVereinbase WordPress plugin before 1.1.8 does not require a valid password or a genuine second factor before authenticating a user, treating an empty stored value as a match, so an unauthenticated attacker can log in as any user, including an administrator.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web contact@wpscan.com
- web nvd.nist.gov
- web wpscan.com
- web github.com