Newsletters 4.18.1以前に重大な脆弱性、更新の確認を
WordPress用メール配信プラグイン Newsletters(newsletters-lite)の4.18.1以前に、外部から認証なしで悪用され得る重大な脆弱性(CVSS 9.8)が見つかりました。実際の攻撃で悪用されたという情報は、現時点では公表されていません。自社サイトで該当プラグインが入っているかを確認し、ベンダーや Patchstack の情報で修正版を確かめて更新してください。
急ぎ度: 早めに
認証なしで外部から悪用できる条件でCVSSが9.8と高い一方、実際の悪用は確認されておらず、修正版の版番号も公表内容からは分からないためです。
関係があるか
WordPressサイトにプラグインNewsletters（スラッグnewsletters-lite）を入れ、版が4.18.1以前の組織が対象です。会員向けのお知らせや販促メールの配信にこのプラグインを使っているサイトが当てはまります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Tribulant Software Newsletters(newsletters-lite) | 4.18.1以前 | 修正版の版番号は公表されていません。Patchstackの告知とプラグイン配布ページで確認してください |
確かめ方
- 1WordPressの管理画面で「プラグイン」→「インストール済みプラグイン」を開き、Newslettersが入っているか、版が4.18.1以前かを確認します。
- 2WP-CLIが使える環境では、次のコマンドで版を確認できます。
- 3有効化していない（停止中の）プラグインでもファイルがサーバーに残っていれば、念のため対象として扱います。複数サイトを管理している場合は、すべてのサイトで確認してください。
何が起きたか
WordPress向けのメール配信プラグインNewslettersに、外部から送られたデータを安全に確認しないまま取り込んでしまう弱点が見つかりました。この弱点は「信頼できないデータのデシリアライズ」と呼ばれる種類で、結果として「オブジェクトインジェクション」と呼ばれる状態を許します。4.18.1までの版が対象です。
デシリアライズとは、プログラムが保存や送受信のために文字列へ変換したデータを、元のプログラム上の部品（オブジェクト）に戻す処理です。戻すデータの中身を検証しないと、送り手が意図した部品をサーバー側に作らせることができます。Patchstackの告知は、この問題をPHPのオブジェクトインジェクションとして分類しています。
評価はCVSS v3.1で9.8（重大）です。ネットワーク経由で、特別な権限も利用者の操作も要らず、機密性・完全性・可用性のすべてに大きな影響が出る想定です。ただし、実際にどこまでの被害になるかは、サイトに入っている他のプラグインやテーマの構成にも左右されるのが一般的です。この件で具体的にどのような影響が確認されているかは、公表されていません。
攻撃の流れ
-
1
対象を探す
攻撃者がインターネット上で、脆弱な版のNewslettersを入れたWordPressサイトを探します。
-
2
細工データ送信
認証なしで、サイトに細工したデータを送ります。
-
3
検証なく復元
プラグインがそのデータを確認せずにオブジェクトへ戻してしまいます。
-
4
意図外の動作
サイトの構成によっては、情報漏えい、改ざん、サイト停止などにつながります。
どう悪用されるか
悪用に必要な条件は、脆弱な版のNewslettersが動いているサイトに、ネットワーク経由で到達できることです。CVSSのベクターでは、認証（PR:N）も利用者の操作（UI:N）も不要とされています。そのため、管理画面にログインできない外部の第三者でも、条件が合えば悪用できる可能性があります。
悪用された場合、機密性・完全性・可用性のすべてに高い影響が想定されます。具体的には、サイト内の情報（購読者の氏名やメールアドレスなど）の漏えい、内容の改ざん、サイトの停止などです。実際にどこまで起きるかは環境次第で、この件についての詳しい悪用条件は公表されていません。
実際の攻撃で悪用されたことを示す情報（米国CISAのKEVへの掲載など）は、現時点では確認できません。
今すぐやること
-
1
導入の有無と版を確認する
管理しているすべてのWordPressサイトで、Newsletters(newsletters-lite)が入っているか、版が4.18.1以前かを確認します。
wp plugin get newsletters-lite --field=version -
2
修正版の有無を確かめる
Patchstackの告知、プラグインの配布ページ、ベンダーの案内で、修正版の版番号と更新内容を確認します。修正版が出ていれば、バックアップを取ったうえで更新します。
-
3
修正版が無い間は停止を検討する
修正版が確認できない場合は、プラグインを無効化します。メール配信を止められない事情があるなら、代替の配信手段への切り替えを検討します。
-
4
不審な形跡を確認する
更新前後のアクセスログや、見覚えのない管理者アカウント・ファイルの追加がないかを確認します。侵害が疑われる場合は、パスワードの再設定と調査を行ってください。
-
5
使っていないなら削除する
使っていないプラグインは無効化するだけでなく、サーバーから削除します。
すぐ更新できないとき
修正版を当てられない場合は、Newslettersプラグインを無効化し、必要なければ削除してください。ベンダーが公表した回避策は、現時点では確認できていません。WAFを使っている場合は、提供元に対応ルールの有無を問い合わせる方法もありますが、これだけで十分とは言い切れないため、更新または停止を優先してください。
背景
Newslettersのようなメール配信プラグインは、購読者のリストを管理し、お知らせや販促メールを送る役割を持ちます。そのため、顧客や会員のメールアドレスといった個人情報がサイトのデータベースに集まりやすく、侵害された場合の影響が小さくありません。
PHPで作られたアプリケーションでは、外部から受け取ったデータを検証せずにデシリアライズする問題が、これまでもWordPressのプラグインなどで繰り返し報告されてきました。今回のように認証が不要なものは、広く公開されているサイトほど狙われやすいため、版の確認と更新の運用を日頃から整えておくことが対策になります。
よくある質問
Q.すでに攻撃を受けているのですか。
Q.どの版に更新すればよいですか。
Q.プラグインを無効にしているだけでも危険ですか。
まだ分かっていないこと
- 修正版の版番号と公開日は、公表内容からは分かりません。
- 実際の攻撃での悪用の有無や、悪用される見込みを示す指標（EPSSなど）は、現時点で明らかになっていません。
- どのような構成で、どの程度の被害につながるかの詳細は公表されていません。PatchstackやGHSAの更新を確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Tribulant Software | Newsletters |
4.18.1 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Deserialization of Untrusted Data vulnerability in Tribulant Software Newsletters newsletters-lite allows Object Injection.This issue affects Newsletters: from n/a through 4.18.1.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web audit@patchstack.com
- web nvd.nist.gov
- web github.com