Little Birdiesに認証不要の重大な欠陥、修正版は未公表
WordPress用テーマ「Little Birdies」(ThemeREX Group 提供)の 1.3.16 以前に、信頼できないデータを不用意に復元してしまう欠陥(PHP オブジェクトインジェクション)が見つかりました。ログイン不要で外部から狙える重大度 CVSS 9.8 の欠陥で、このテーマを使うサイトが対象です。直った版は公表されていないため、使用の有無と版をまず確認し、提供元の告知を見ながら、テーマの入れ替えや停止も含めて対応を検討してください。
急ぎ度: 早めに
認証なしで外部から狙えるCVSS 9.8の欠陥ですが、実際の攻撃で悪用されたという公表は現時点で確認できず、まず該当有無の確認を急ぐ段階だからです。
関係があるか
WordPressでテーマ「Little Birdies」を導入しているサイトが対象です。有効化していなくても、テーマのファイルがサーバー上に残っている場合は確認が必要です。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Little Birdies(ThemeREX Group、WordPress テーマ、スラッグ little-birdies) | 1.3.16以前（すべて対象） | 公表されていません |
確かめ方
- 1WordPress管理画面の「外観」→「テーマ」でLittle Birdiesが入っているかを確認し、テーマの詳細から版を確かめます。
- 2サーバー上の
wp-content/themes/にlittle-birdiesディレクトリがあるかを確認します。無効化中でも残っていれば確認の対象です。 - 3WP-CLIが使える環境では、下記の
wp theme listで名前・状態・版を一覧できます。 - 4子テーマを使っている場合は、親テーマとしてLittle Birdiesが使われていないかも確認します。
何が起きたか
WordPress用の有料テーマLittle Birdiesに、PHPの「オブジェクトインジェクション」と呼ばれる種類の欠陥が見つかりました。外部から送られたデータを、安全性を確かめずにプログラム内部のオブジェクトへ復元してしまうため、送り手がサイト側の動作に影響を与えられる可能性があります。公表された深刻度はCVSS v3で9.8（重大）です。
評価の前提は、ネットワーク経由で、特別な条件や権限なしに、利用者の操作も必要としないというものです。機密性・完全性・可用性のいずれにも高い影響があると見積もられています。
技術的には、信頼できないデータのデシリアライズ（CWE-502）に分類されます。この種の欠陥で実際に何が起こるかは、サイトにほかに入っているプログラムの内容によって変わることが一般に知られています。ただし評価値は最悪の場合を想定しているため、影響が小さいと見込んで放置するのは避けるべきです。
影響を受けるのは1.3.16までの版です。修正版の有無や版番号は公表されていません。実際の攻撃で悪用されたという情報も、現時点では公表されていません。
攻撃の流れ
-
1
公開サイトを探す
攻撃者は、Little Birdiesを使っているWordPressサイトを外部から見つけます。
-
2
細工データを送る
ログインなしで、テーマが処理するリクエストに細工したデータを送り込みます。
-
3
不正に復元される
テーマが信頼できないデータをそのままオブジェクトに復元してしまいます。
-
4
サイトが操作される
サイト内のほかのプログラム次第で、情報の漏えいや改ざん、停止などにつながるおそれがあります。
どう悪用されるか
悪用にログインは要りません。インターネットから到達できるサイトであれば、外部の第三者が利用者の操作なしに狙える評価です。攻撃の難易度は低いとされています。
悪用された場合、サイトの情報の漏えい、内容の改ざん、サービス停止などが想定されます。具体的にどこまで及ぶかは、サイトの構成によって変わります。実際の被害事例は公表されていません。
今すぐやること
-
1
使用の有無と版を確認する
管理下のWordPressサイトでLittle Birdiesが入っているかを洗い出し、版を記録します。無効化中のテーマも対象です。
wp theme list --fields=name,status,version -
2
提供元の告知を確認する
ThemeREX Groupの配布元、Patchstackの脆弱性情報、GitHub Advisoryで、修正版の公開状況を確認します。1.3.16より新しい版が出ていれば、バックアップを取ってから更新します。
-
3
修正版が無ければ使用をやめる
直った版が確認できない場合は、別のテーマへの切り替えを検討します。使っていないなら、テーマ自体をサーバーから削除します。
-
4
更新前にバックアップを取る
テーマの更新や入れ替えの前に、ファイルとデータベースの両方のバックアップを取ります。
-
5
不審な兆候がないか見る
公表日以降のアクセスログに、テーマに関する不審なリクエストがないか確認します。身に覚えのない管理者アカウントや、更新していないファイルの変更がないかも見ます。
すぐ更新できないとき
修正版が確認できない場合の確実な回避策は、Little Birdiesを使わないことです。別のテーマへ切り替えたうえで、使っていないテーマはサーバーから削除してください。すぐに切り替えられない場合は、WAF（Webアプリケーションファイアウォール）での防御や、アクセス元の制限で当面の被害を減らせる可能性があります。ただし、この欠陥に対する有効性は提供元やWAFベンダーの情報で確認してください。
背景
WordPressのテーマはサイトの見た目だけでなく、PHPのプログラムとしてサイト内部で動きます。そのため、テーマに欠陥があれば、サイト全体の安全性に直結します。テーマやプラグインは第三者が提供しており、WordPress本体とは別に更新状況を追う必要があります。
PHPのデシリアライズに関する欠陥は、外部から入ったデータを安全確認なしに復元することで起きる、以前から知られた種類の弱点です。WordPressのテーマやプラグインでも繰り返し報告されています。対策の基本は、直った版への更新と、使っていない部品の削除です。
よくある質問
Q.Little Birdiesを有効化していなければ影響はありませんか。
Q.すでに攻撃されているのでしょうか。
Q.修正版はいつ出ますか。
まだ分かっていないこと
- 直った版の有無と版番号、およびその公開時期は公表されていません。
- 実際の攻撃で悪用されたかどうかや、悪用される見込みを示す指標は公表されていません。
- 欠陥のある具体的な機能と、オブジェクトインジェクションが実際にどんな被害につながるかは、公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| ThemeREX Group | Little Birdies |
1.3.16 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Deserialization of Untrusted Data vulnerability in ThemeREX Group Little Birdies little-birdies allows Object Injection.This issue affects Little Birdies: from n/a through 1.3.16.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web audit@patchstack.com
- web nvd.nist.gov
- web github.com