Newsletters プラグインにSQLインジェクション、4.18.1以下
WordPress 用プラグイン Newsletters(newsletters-lite)の 4.18.1 以下に、ログイン不要で悪用できる SQL インジェクションの脆弱性が見つかりました。深刻度は CVSS 9.3 の「重大」です。該当する版を使っている WordPress サイトは、ベンダーの告知で修正版を確認して更新するか、使っていなければ無効化・削除してください。
急ぎ度: 早めに
ログイン不要でインターネット越しに悪用できる重大な弱点ですが、実際の攻撃での悪用は現時点で明らかになっていないため、至急ではなく早めの対応としています。
関係があるか
WordPressにTribulant Software製のプラグインNewsletters(newsletters-lite)を入れている企業・団体のサイトが対象です。メールマガジンの配信や購読者管理に使っている場合は、特に確認が必要です。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Tribulant Software Newsletters(newsletters-lite) | 4.18.1以下 | 修正版の版番号は公表されていません。ベンダーの告知やWordPressの管理画面の更新通知で確認してください。 |
確かめ方
- 1WordPressの管理画面で「プラグイン」→「インストール済みプラグイン」を開き、Newslettersが入っているか、版が4.18.1以下かを確認します。
- 2サーバーにWP-CLIがあれば、
wp plugin get newsletters-lite --field=versionで版を確認できます。 - 3複数のサイトを運用している場合は、社内のWordPressの一覧を作り、サイトごとに同じ確認をします。委託先が運用しているサイトは、委託先にも確認してください。
- 4プラグインが無効化されていても、サーバー上にファイルが残っていないかを確認します。使わないものは削除します。
何が起きたか
WordPress用のメール配信プラグインNewslettersに、データベースへの問い合わせを不正に操作されてしまう弱点（SQLインジェクション）が見つかりました。外部から送られた入力が十分に無害化されないまま、データベースへの命令の一部として扱われてしまう種類の欠陥です。
評価の指標はCVSS 3.1で9.3です。インターネット越しに、特別な権限やログインなしで、利用者の操作も要らずに悪用できる前提で評価されています。影響は、情報の漏えいが「高」、サービスへの影響が「低」、データの改ざんは「なし」とされています。
分類はCWE-89（SQLコマンドで使われる特殊要素の不適切な無効化）です。影響を受けるのは4.18.1までの版です。修正版の番号は、現時点で公表されていません。
攻撃の流れ
-
1
公開サイトを探す
インターネットから届くWordPressサイトの中で、このプラグインを入れているものが狙われます。
-
2
細工した入力
ログインなしで、プラグインが受け付ける入力に不正な内容が送られます。
-
3
命令が混ざる
入力が十分に無害化されず、データベースへの命令の一部として解釈されます。
-
4
情報が読まれる
サイトのデータベースに保存された情報が外部に読み取られるおそれがあります。
どう悪用されるか
悪用に必要な前提は少ないと評価されています。ネットワーク経由で届く位置にあり、ログインなどの認証は要らず、サイト管理者や訪問者の操作も要りません。したがって、プラグインが入っていて公開されているサイトであれば、外部の誰からでも狙われうる状態です。
悪用された場合の主な被害は、データベース内の情報の漏えいです。メール配信プラグインには購読者のメールアドレスなどが保存されていることが多く、同じデータベースにはWordPressの利用者情報も入っています。また、サイトの動作が不安定になる影響が出る可能性もあります。評価上、データの改ざんは想定されていません。
実際の攻撃で悪用されたかどうかは、現時点で明らかになっていません。公開から日が浅い間は、悪用コードが出回る可能性もあるため、状況を見ながら早めに対処することをおすすめします。
今すぐやること
-
1
使っている版を確認する
管理画面またはWP-CLIでNewslettersの版を確認し、4.18.1以下かどうかを調べます。複数サイトや委託先の運用分も洗い出してください。
wp plugin get newsletters-lite --field=version -
2
修正版の公開状況を確認して更新する
ベンダーの告知や、Patchstackの脆弱性データベースの記載で、修正版の有無と版番号を確認します。修正版が出ていれば、検証環境で動作を確かめたうえで、速やかに本番へ反映します。更新の前にはデータベースとファイルのバックアップを取ります。
-
3
修正版がなければ停止を検討する
修正版が出ていない場合は、プラグインの無効化を検討します。メール配信を止められない場合は、下の回避策も組み合わせてください。使っていないなら、無効化にとどめず削除します。
-
4
ログと兆候を点検する
Webサーバーのアクセスログに、このプラグイン宛ての不審なリクエストや、エラーの急増がないかを確認します。不審な兆候があれば、購読者情報の漏えいを想定して、社内の手順で調査と報告を進めます。
すぐ更新できないとき
修正版を当てられない間は、プラグインを無効化するのが最も確実です。無効化できない場合は、Webアプリケーションファイアウォール（WAF）でSQLインジェクション対策のルールを有効にし、プラグインへのアクセスを必要な範囲に絞ります。ただし、これは補助的な対策であり、修正版の適用の代わりにはなりません。
背景
Newslettersのようなメール配信プラグインは、購読者の登録、メールの作成と送信、配信履歴の管理を担います。そのため、メールアドレスなどの個人情報を含むデータベースと密接に結びついています。公開サイトの入力を受け付ける機能が多いことも、外部から狙われやすい理由です。
SQLインジェクションは、Webアプリケーションの弱点として古くから知られている種類のものです。入力をそのまま命令に混ぜないこと（プレースホルダなどの安全な書き方を使うこと）で防げます。それでも、WordPressのプラグインでは今も繰り返し報告されています。プラグインは本体とは別の開発元が作っているため、更新状況を自社で把握しておく必要があります。
よくある質問
Q.プラグインを入れているだけで、メール配信は使っていません。影響はありますか。
Q.すでに攻撃されているのでしょうか。
Q.有償版など、他の版も影響を受けますか。
まだ分かっていないこと
- 修正版の版番号と公開日は公表されていません。
- 実際の攻撃での悪用の有無や、攻撃コードの公開状況は、現時点で明らかになっていません。
- 漏えいしうる情報の範囲など、攻撃の詳しい影響は公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Tribulant Software | Newsletters |
4.18.1 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in Tribulant Software Newsletters newsletters-lite allows SQL Injection.This issue affects Newsletters: from n/a through 4.18.1.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web audit@patchstack.com
- web nvd.nist.gov
- web github.com