ZenSoul 1.13以下に重大な脆弱性、修正版は要確認
WordPress 用テーマ ZenSoul(ThemeREX 製)の 1.13 以前に、ログイン不要で外部から狙える深刻度「重大」(CVSS 9.8)の脆弱性が見つかりました。このテーマを使っている WordPress サイトの運営者が対象です。まず自社サイトでの利用と版を確認し、修正版の有無を Patchstack の告知やベンダーの案内で確かめてください。
急ぎ度: 早めに
ログイン不要でネットワーク越しに狙えるCVSS 9.8の脆弱性ですが、実際の攻撃での悪用が確認されたという情報や修正版の版番号は公表されていないため、利用状況の確認から着手します。
関係があるか
WordPressでZenSoulテーマを使っているWebサイトが対象です。テーマを有効にしているサイトだけでなく、使っていなくてもテーマのファイルがサーバーに残っている環境は確認が必要です。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| ThemeREX ZenSoul(WordPress テーマ) | 1.13以前（下限の版は公表されていません） | 公表されていません。Patchstackの告知とベンダーの案内で確認してください |
確かめ方
- 1WordPress管理画面の「外観」→「テーマ」で、ZenSoulがインストールされているか、版が何かを確認します。
- 2有効なテーマだけでなく、無効のまま残っているテーマも一覧で確認します。子テーマを使っている場合は、親テーマがZenSoulでないかも見ます。
- 3WP-CLIが使える環境では、下のコマンドでテーマの一覧と版を確認できます。
- 4複数サイトを管理している場合は、サーバー上の
wp-content/themes/にzensoulのフォルダがないかを全サイトで確かめます。
何が起きたか
WordPressのテーマZenSoulに、外部から送られたデータを十分に確かめないまま内部のオブジェクトに戻してしまう欠陥が見つかりました。このような欠陥は「信頼できないデータのデシリアライズ」（CWE-502）と呼ばれ、この件はPHPオブジェクトインジェクションとして報告されています。影響を受けるのは1.13以前の版です。
深刻度の評価はCVSS 9.8で、最も高い区分の「重大」です。ネットワーク越しに、ログインなしで、利用者の操作も要らずに狙える条件で、機密性・完全性・可用性のすべてに大きな影響が出うると評価されています。
技術的には、サイトに送られた特殊なデータがPHPのオブジェクトとして復元されるときに、攻撃者が意図したオブジェクトを作らせることができる、という種類の問題です。実際にどこまで被害が広がるかは、サイトにほかにどのプラグインやテーマが入っているかなど、環境によって変わることがあります。ただし、評価上は最悪の場合として重大な影響が想定されているため、環境に依存するからといって後回しにはできません。
攻撃の流れ
-
1
対象を探す
攻撃者がインターネット上でZenSoulテーマを使っているWordPressサイトを見つけます。
-
2
細工データ送信
ログインなしで、テーマが処理するデータに細工したものを送ります。
-
3
オブジェクト生成
テーマが検証しないままデータを復元し、攻撃者の意図したオブジェクトが作られます。
-
4
サイトへの影響
環境によっては、情報の漏えい、改ざん、サイト停止などにつながる可能性があります。
どう悪用されるか
悪用に必要な条件は多くありません。ネットワーク越しに到達できれば、ログイン（認証）は不要で、サイトの管理者や訪問者に何かの操作をさせる必要もありません。そのため、インターネットに公開されているWordPressサイトが主な対象になります。
うまく悪用された場合は、サイト内の情報の閲覧、内容の書き換え、サイトの停止などが起こりえます。ただし、具体的にどの被害まで及ぶかは、サイトに入っているほかのコードなど環境に左右されることがあります。実際の攻撃での悪用が確認されたという情報は、現時点で公表されていません。
今すぐやること
-
1
ZenSoulを使っているか確認する
管理画面またはWP-CLIで、ZenSoulがインストールされているか、版が1.13以前かを確認します。複数サイトを運用している場合は、すべてのサイトで確かめます。
wp theme list --fields=name,status,version -
2
修正版の有無を確認して更新する
Patchstackの告知とベンダー（ThemeREX）の案内で、修正版が出ているかを確かめます。修正版があれば、バックアップを取ってから更新し、更新後に表示や機能が正常かを確認します。
-
3
修正版がなければテーマを切り替える
修正版が確認できない場合は、別のテーマへの切り替えを検討します。使っていないなら、ZenSoulのフォルダごと削除します。
-
4
WAFやアクセス制限を見直す
WAFを使っている場合は、ベンダーから脆弱性への対応ルールが提供されていないかを確認します。管理者以外が触れないはずの機能へのアクセスは、可能な範囲で絞ります。
-
5
不審な兆候がないか点検する
公表前から狙われていた可能性は否定できないため、身に覚えのない管理者アカウント、改ざんされたファイル、不審なアクセスログがないかを確認します。バックアップは、問題があったときに戻せる状態にしておきます。
すぐ更新できないとき
修正版がすぐに使えない場合は、ZenSoulから別のテーマへ切り替え、ZenSoulを使わない状態にします。無効にしただけではファイルがサーバーに残り、環境によっては影響が残る可能性があるため、不要ならフォルダごと削除します。どうしても使い続ける場合は、WAFでの防御とログの監視を強めてください。
背景
WordPressのテーマは、サイトの見た目だけでなく、会員機能や予約機能、独自の入力フォームなど、サイトの動作の一部も担います。テーマはPHPのコードそのものなので、欠陥があるとサイト全体、ひいてはサーバー上の情報に影響が及ぶことがあります。
PHPのデシリアライズに関する欠陥は、WordPressのテーマやプラグイン、そのほかのWebアプリケーションで繰り返し報告されてきた種類の問題です。外部から受け取ったデータを復元する処理で、入力の検証が足りないと発生します。テーマやプラグインは更新が止まったり、利用者に更新の知らせが届きにくかったりするため、気づかないうちに古い版が残りやすい点にも注意が必要です。
よくある質問
Q.ZenSoulを入れているだけで、有効にしていなくても影響しますか。
Q.すでに攻撃されていますか。
Q.修正版はありますか。
まだ分かっていないこと
- 修正版の版番号と提供時期は公表されていません。
- 影響を受ける最も古い版は公表されていません（1.13以前とのみ示されています）。
- 実際の攻撃での悪用の有無や、悪用された場合に具体的にどこまで被害が及ぶかは、現時点で明らかになっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| ThemeREX | ZenSoul |
1.13 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Deserialization of Untrusted Data vulnerability in ThemeREX ZenSoul zensoul allows Object Injection.This issue affects ZenSoul: from n/a through 1.13.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web audit@patchstack.com
- web nvd.nist.gov
- web github.com