WordPressのConfectionに認証不要のRCE脆弱性
WordPressプラグインConfection WordPress Cableの0.4.0から0.4.7に、ログイン不要でサーバー上のPHPコードを実行される脆弱性があります。該当版を使うサイトは、修正版が出るまでプラグインを削除し、改ざんの跡がないかも調べてください。
急ぎ度: 至急
CVSS v3が10で認証なしにネットワークから悪用でき、CVEの記録に修正版が示されていないため、該当版は削除を先に検討する段階です。
関係があるか
WordPressにConfection WordPress Cableプラグインを入れ、0.4.0から0.4.7のいずれかを使っているサイトが対象です。有効化していなくても、ファイルが残っていれば確認してください。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Confection WordPress Cable（WordPressプラグイン） | 0.4.0以上0.4.7以下 | CVEの記録には修正版の記載がありません。プラグインの配布ページとWPScanの情報で、修正版の有無を確認してください。 |
確かめ方
- 1WordPressの管理画面で、プラグインの一覧を開き、Confection WordPress Cableが入っているか、版が0.4.0から0.4.7かを確認します。
- 2サーバーにシェルで入れる環境では、
wp plugin listで一覧と版を見られます。 - 3複数のサイトやマルチサイトを運用している場合は、すべてのサイトで同じ確認をします。ステージング環境や、使っていない古いサイトも対象です。
何が起きたか
Confection WordPress Cableの0.4.0から0.4.7には、インターネット側から誰でもサーバー上で任意のPHPコードを実行できてしまう脆弱性があります。成功すると、サイトのサーバーを遠隔から操作される状態になります。
このプラグインは、設定を保存する処理で、操作した人の権限もnonceも確認していません。さらに、設定の一つを加工せずに単独のPHPファイルへ書き出し、そのファイルを配信します。設定画面を使えるはずのない人が書き込んだ内容が、そのままPHPとして動く構造です。
分類はCWE-94（コードインジェクション）とCWE-862（認可の欠如）の2つです。WPScanの脆弱性情報が参照先として挙がっており、種別はexploitとなっています。
攻撃の流れ
-
1
設定保存へ接続
外部の攻撃者が、権限確認のないプラグインの設定保存処理に到達します。
-
2
設定値を送る
認証もnonceも求められないまま、設定として細工した値を保存させます。
-
3
PHPファイル化
プラグインが設定値を加工せず、単独のPHPファイルに書き出します。
-
4
コード実行
配信されたそのPHPファイルが実行され、サーバー上で任意のコードが動きます。
どう悪用されるか
悪用にログインは要りません。ネットワーク越しに到達でき、複雑な条件はなく、サイト管理者や訪問者の操作も要りません。CVSSのベクトル（AV:N/AC:L/PR:N/UI:N）もそのとおりです。
悪用されると、Webサーバーの実行権限でPHPコードが動きます。機密性・完全性・可用性への影響はいずれも高く、スコープは変更ありと評価されています。サイト内のデータの読み出しや改ざん、サイト停止のほか、同じサーバーにある別のサイトや接続先への足がかりにされることも想定してください。
今すぐやること
-
1
対象版が入っているかを確認する
管理画面かシェルでプラグインの一覧を見て、Confection WordPress Cableの有無と版を把握します。複数サイトを持つ場合は全サイトを調べます。
wp plugin list -
2
修正版を確認し、無ければ削除する
プラグインの配布ページとWPScanの情報で、修正版が出ているかを確認します。0.4.7以下しか見当たらない間は、プラグインを無効化するだけでなく、ディレクトリごと削除してください。無効化では、書き出されたPHPファイルが残る可能性があります。業務上どうしても必要な場合は、先にサイトへの接続を絞ります。
-
3
改ざんの跡を調べる
wp-contentの下に、身に覚えのないPHPファイルや、最近更新されたPHPファイルがないかを調べます。サーバーのアクセスログで、プラグインに対する外部からの不審な書き込みの形跡も見ます。
find wp-content -name '*.php' -mtime -7 -
4
侵害が疑われるときの対処
不審なファイルが見つかったら、侵害されたものとして扱います。クリーンなバックアップへの復旧、管理者パスワードとデータベース接続情報の変更、wp-configの認証キーの再発行を進め、同じサーバー上の他のサイトにも影響がないか調べます。
-
5
修正版が出たら更新する
修正版が公開されたら、更新前に侵害の跡がないことを確認してから入れ直します。以前のバックアップに戻す場合は、対象版が含まれていないかを確認します。
修正版がないあいだのつなぎ
プラグインをすぐ削除できない場合は、サイトを一時的にメンテナンス表示に切り替えるか、接続元を社内や許可したIPアドレスに絞って、外部から到達できない状態にします。WAFで防げるかどうかは確認できていないため、WAFだけに頼らず、削除を最優先にしてください。
背景
WordPressのプラグインは、サイトのPHPとして動き、Webサーバーの実行権限をそのまま使います。そのため、設定の保存処理に権限確認とnonceの確認が抜けていると、本来は管理者だけが変えられる値を、外部の誰もが書き換えられてしまいます。今回はその値が、実行されるPHPファイルの中身になっていました。設定の書き換えが、そのままコード実行につながる構造です。
設定値を加工せずにコードとして配信する作りは、設定の変更を許す欠陥が一つあるだけで、認証なしの遠隔コード実行に直結します。CVSSで最高点の10になっているのは、このためと考えられます。
よくある質問
Q.管理画面をIP制限していれば、影響は避けられますか。
Q.0.3系以前の版は影響を受けますか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| WordPress プラグインConfection WordPress Cable |
0.4.0 〜 0.4.7→ 記載なし |
記載なし |
この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
The Confection WordPress Cable WordPress plugin from 0.4.0 to 0.4.7 does not perform any capability or nonce checks before saving its settings and writing one of them, unmodified, into a standalone PHP file that it then serves, allowing unauthenticated users to execute arbitrary PHP code on the server.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web contact@wpscan.com
- web nvd.nist.gov
- web wpscan.com
- web github.com