Rootblox 1.0.6以下にファイル読み込みの欠陥、修正版は不明
WordPress 向けの Rootblox(CozyThemes 提供)の 1.0.6 以前に、サーバー上のファイルを意図しない形で読み込ませられる脆弱性が見つかりました。認証なしでネットワーク越しに悪用でき、深刻度は CVSS 9.8 の「緊急」です。該当版を使っている場合は、修正版の有無を確認し、無ければ無効化や削除を検討してください。
急ぎ度: 早めに
認証なしで外部から悪用でき深刻度は最高クラスですが、実際の悪用が確認されたという公表はなく、修正版の情報も現時点では明らかになっていないためです。
関係があるか
WordPress サイトに Rootblox プラグインを導入している組織が対象です。特にインターネットに公開しているサイトは、認証なしで攻撃を受けうる状態です。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| CozyThemes Rootblox(WordPress プラグイン) | 1.0.6 以前のすべての版 | 公表されていません。提供元の告知で確認してください |
確かめ方
- 1WordPress の管理画面で「プラグイン」→「インストール済みプラグイン」を開き、Rootblox があるか、有効かどうか、版が 1.0.6 以前かを確認します。
- 2WP-CLI を使える環境では、次のコマンドで版と状態を確認できます。
- 3複数のサイトを運用している場合は、サイトごとに導入状況を洗い出します。他部署や外部の制作会社が構築したサイトも含めてください。
- 4無効化していても、プラグインのファイルがサーバーに残っていれば、版によっては影響が残る可能性があります。使っていないなら削除まで行うのが確実です。
何が起きたか
WordPress 用プラグイン Rootblox の 1.0.6 以前に、重大な脆弱性が見つかりました。プラグインが、どのファイルを読み込んで実行するかを決める部分で、外部から与えられた値を十分に管理できていないことが原因です。その結果、サイトの運営者が想定していないファイルをサーバーに読み込ませることができてしまいます。
この種の弱点は、分類上は CWE-98(PHP プログラムの include/require 文に使うファイル名の不適切な制御)にあたります。いわゆる「ファイルインクルージョン」で、今回は同じサーバー内のファイルを読み込ませる Local File Inclusion として説明されています。
深刻度は CVSS v3.1 で 9.8 です。ネットワーク越しに、特別な権限も利用者の操作も要らず、機密性・完全性・可用性のすべてに大きな影響が出るという評価です。修正版の版番号は公表されていません。
攻撃の流れ
-
1
公開サイトを探す
攻撃者がインターネット上から Rootblox を使っている WordPress サイトを見つけます。
-
2
リクエスト送信
ログインなしで、ファイル名を決める部分に細工した値を含むリクエストを送ります。
-
3
意図外のファイル読込
プラグインが運営者の想定外のファイルを読み込み、PHP として処理してしまいます。
-
4
情報漏えい・改ざん
サーバー上の情報の閲覧や、サイトの改ざん、動作停止などにつながる恐れがあります。
どう悪用されるか
悪用に必要な条件は少なく、認証は不要で、利用者に何かをクリックさせる必要もありません。ネットワーク越しに攻撃でき、攻撃の難しさも低いと評価されています。Rootblox を有効にしてインターネットに公開している WordPress サイトが、主な標的になります。
悪用された場合、評価上は機密情報の閲覧、サイトの内容やファイルの改ざん、サービス停止のいずれも起こりえます。実際にどこまで被害が広がるかは、サーバーの設定や、読み込ませられるファイルの内容によって変わります。この脆弱性が実際の攻撃で悪用されたという公表は、現時点で明らかになっていません。
今すぐやること
-
1
導入状況と版を確認する
自社で管理するすべての WordPress サイトで、Rootblox が入っているか、版が 1.0.6 以前かを洗い出します。
wp plugin get rootblox --fields=name,status,version -
2
修正版の有無を確認する
Patchstack の告知ページ、GitHub Advisory、CozyThemes の配布元で、修正版が出ているかを確認します。出ていれば、バックアップを取ったうえで更新します。
-
3
修正版が無ければ無効化・削除する
Rootblox が業務上必須でなければ、プラグインを無効化し、ファイルごと削除します。必須の場合は、下の回避策を組み合わせて公開範囲を絞ります。
-
4
不審なアクセスの痕跡を調べる
Web サーバーのアクセスログで、Rootblox 関連のパスへの不審なリクエストや、見覚えのないファイル、管理者アカウント、設定の変更が無いかを確認します。異常があれば、サイトの停止や認証情報の入れ替えも検討します。
-
5
バックアップを確保する
更新や削除の前に、サイトのファイルとデータベースの最新のバックアップを取り、復旧できる状態にしておきます。
すぐ更新できないとき
修正版を当てられない場合は、まずプラグインを無効化し、不要なら削除します。どうしても使い続ける必要があるときは、WAF でプラグインへの不審なリクエストを遮断する、サイトへのアクセス元を制限する、といった対策で露出を減らします。ただし、これらは根本的な解決ではないため、修正版が出たら速やかに更新してください。
背景
WordPress のプラグインは、サイトに機能を追加する部品です。サーバー上の PHP プログラムとして動くため、欠陥があるとサイト全体、場合によってはサーバー全体に影響します。多くの組織では、企業情報の発信や採用、問い合わせの受付などに使われ、外部に公開されている入口になっています。
ファイルインクルージョンは、PHP のプログラムで以前から繰り返し問題になってきた種類の弱点です。読み込むファイルの指定を外部の入力に左右されるようにしていると起こります。対策の基本は、読み込めるファイルを固定の一覧に限ることです。WordPress のプラグインでも、同種の報告がたびたびあります。
よくある質問
Q.Rootblox を入れていますが、無効にしていれば安全ですか。
Q.すでに攻撃されたかどうかは分かりますか。
Q.実際に攻撃は起きていますか。
まだ分かっていないこと
- 修正版の版番号と公開日は公表されていません。
- 実際の攻撃での悪用の有無や、攻撃の規模は明らかになっていません。
- 読み込まれたファイルによってどこまで被害が広がるかなど、悪用された場合の具体的な影響範囲は、詳しく公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| CozyThemes | Rootblox |
1.0.6 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in CozyThemes Rootblox rootblox allows PHP Local File Inclusion.This issue affects Rootblox: from n/a through 1.0.6.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web audit@patchstack.com
- web nvd.nist.gov
- web github.com