WordPress 2016年4月_脆弱性集計  2016/5/11
2016年4月度のWordPressに関する脆弱性レポートをお知らせします。

4月度全体の脆弱性報告件数としては49件でした。3月度から16件増加しております。
個所別レポート
個所別の発生件数は、それぞれ本体で3件、テーマは2件、プラグインが44件でした。

内容ですが、本体に関しまして今月は3件の脆弱性が出ております。また先月に引き続き最多発生はプラグインとなり、脆弱性に気を配る必要があることがわかります。

テーマに関しましても2件の脆弱性が発生しました。これは、3カ月連続の発生となります。

トピックス
前述のとおり本体に3件の脆弱性が発生しております。内容としましては、ブログにて速報しております通り、バージョン4.4.2以下にクロスサイトスクリプティング(XSS)とサーバサイドリクエストフォージェリ(SSRF)、クロスサイトリクエストフォージェリ(CSRF)と合計3件の脆弱性が発生しております。

対策版に関しましてはバージョン4.5が既に提供されております。

(※2016年5月11日現在、新たに同バージョンにて脆弱性が発生し、対策版バージョン4.5.2がリリースされております。ブログにて速報として扱っておりますのでご参照くださいませ。また改めて詳細は次月のレポートにてご説明いたします。)

テーマに関しましては前述のとおり2件の脆弱性が発生しました。3カ月連続で脆弱性が発生しております。

プラグインに関しましては、44件の脆弱性が発見されました。そのうち有名プラグインに脆弱性が発見されました。

1つ目は、ブログでも速報を書かせて頂きました通り、アクティブインストール70万以上、総ダウンロード数680万以上の人気プラグイン『iThemes Security』に4月度にて3度脆弱性が発生しております。

それぞれ異なるバージョン5.3系にて発生しておりますのでご注意ください。

このプラグインはWordPressのセキュリティ対策プラグインです。お使いの方は、バージョンの確認をすることを推奨します。

脆弱性はすでにアップデートによって修正済みで、最新版の適用で塞ぐことができます。
(※2016年5月11日時点での最新バージョンは5.3.7となっております)

2つ目は、ブログでも速報を書かせて頂きました通り、アクティブインストール40万以上、総ダウンロード数340万以上の人気プラグイン『The Events Calendar』にOpen Redirectの脆弱性が発生しております。

このプラグインはWordPressのブログにイベントカレンダー機能を追加することが出来るプラグインです。お使いの方は、バージョンの確認をすることを推奨します。

脆弱性はすでにアップデートによって修正済みで、最新版の適用で塞ぐことができます。
(※2016年5月11日時点での最新バージョンは4.1.3となっております)

その他ご利用中の方が多い以下の人気プラグインにおいて脆弱性が発見されたため旧バージョンをご利用中の方は最新のプラグインにアップデートされることをお勧めいたします。

User Role EditorにてPrivilege Escalation(特権昇格)
WP External Linksにてクロスサイトスクリプティング(XSS)
Jetpackにてクロスサイトスクリプティング(XSS)

内容別レポート
脆弱性の内容別発生件数は、1位がXSSで37件、2位がBYPASSで4件、3位がCSRFで2件でした。

トピックス
3月度と比較して、脆弱性の総数が増加しておりますが、その要因の一つがXSSの増加です。但しその他の脆弱性は僅かではありますが、減少しております。
脆弱性一覧
2016年4月の脆弱性一覧をまとめましたのでご参照ください。

以下リストに掲載されている本体バージョン、テーマ、プラグインがある方は、一度診断されることをお勧めいたします。

脆弱性分類ですが、掲載時点の内容の為、ご確認いただく時点で内容不明の分類が変更されている可能性もございますので、それもKYUBIにて最新の状態をご確認いただくことをお勧めします。

また、ご確認のタイミングによっては新たな脆弱性が発見されている可能性もございますので、こちらもKYUBIにて一度ご診断していただくことをお勧めします。

また、バージョンに関しましては、脆弱性情報が発見されたものを記載しておりますが、そのバージョン未満でも同様の脆弱性が発生している可能性がある為、最新版に更新することをお勧めしております。

但し、最新版でも脆弱性内容が修正されていないプラグインも少なからず存在しておりますので、対策されていないプラグインをご利用の方は、ご利用を控えるか、別の同様のプラグインに変更されることをお勧めします。

表:2016年4月度脆弱性一覧

発見個所
脆弱性分類
脆弱性のある本体・プラグイン・テーマの名称
発見されたVer.

プラグイン
XSS
Cerber Limit Login Attempts
2.0.1.6

テーマ
XSS
ScoreMe Theme

プラグイン
PRIVESC
User Role Editor
4.24

プラグイン
XSS
iThemes Security
5.3.4

プラグイン
XSS
WP External Links
1.80

プラグイン
BYPASS
Stop User Enumeration
1.3.3

プラグイン
SQLI
WP Multiple Meta Box
1.0

プラグイン
RCE
Robo Gallery
2.0.14

プラグイン
XSS
MW Font Changer
4.2.5

プラグイン
XSS
Admin Font Editor
1.8

プラグイン
XSS
Infusionsoft Gravity Forms Add-on
1.5.11

プラグイン
XSS
S3 Video Plugin
0.983

プラグイン
XSS
Hero Maps Pro
2.1.0

プラグイン
XSS
WPSOLR
8.6

プラグイン
XSS
Tidio Gallery
1.1

プラグイン
XSS
anti-plagiarism
3.60

プラグイン
XSS
MiniMax
2.0.2

プラグイン
XSS
defa-online-image-protector
3.3

プラグイン
XSS
Easy Contact Form Builder
1.0

プラグイン
XSS
New Year Firework
1.1.9

プラグイン
XSS
Indexisto WordPress Site Search
1.0.5

プラグイン
XSS
HDW WordPress Video Gallery
1.2

プラグイン
XSS
AJAX Random Post
2.00

プラグイン
XSS
FAQ WD
1.0.14

プラグイン
XSS
leenk.me
2.5.0

プラグイン
CSRF
leenk.me
2.5.0

プラグイン
XSS
custom-metas plugin
1.5.1

プラグイン
XSS
e-search
1.0

プラグイン
XSS
WHIZZ
1.0.7

プラグイン
XSS
Simpel Reserveren 3
3.5.2

プラグイン
XSS
Pondol Form to Mail
1.1

プラグイン
XSS
Echosign
1.1

プラグイン
XSS
Tweet Wheel
1.0.3.2

プラグイン
XSS
Persian Woocommerce SMS
3.3.3

プラグイン
XSS
Google SEO Pressor Snippet
1.2.6

プラグイン
BYPASS
iThemes Security
5.3.0

プラグイン
BYPASS
iThemes Security
5.3.0

プラグイン
XSS
Easy Social Share Buttons
3.2.5

プラグイン
XSS
Unlimited Pop-Ups
1.4.3

プラグイン
XSS
CM Ad Changer
1.7.2

プラグイン
BYPASS
iThemes Security
5.3.5

プラグイン
REDIRECT
The Events Calendar
4.1.1

本体
SSRF
WordPress
4.4.2

本体
XSS
WordPress
4.4.2

本体
CSRF
WordPress
4.4.2

プラグイン
XSS
Jetpack
3.9.1

プラグイン
XSS
Simple Photo Gallery
1.8.0

プラグイン
AUTHBYPASS
Google Authenticator
0.47

テーマ
XSS
Truemag Theme

TOPページ