2016年1月度 WordPress脆弱性レポート

Tweet

Pocket

WordPress　2016年1月_脆弱性集計　　2016/2/5

2016年1月度のWordPressに関する脆弱性レポートをお知らせします。

1月度全体の脆弱性報告件数としては22件でした。12月度より10件増加しております。

個所別レポート

個所別の発生件数は、それぞれ本体で1件、テーマは0件、プラグインが21件でした。

内容としては1件本体に脆弱性が出ました。これは4カ月ぶりです。また残りは、プラグインとなり、脆弱性に気を配る必要があることがわかります。

テーマに関しましては先月と同様に脆弱性が発生しませんでした。

トピックス

本体に1件脆弱性が発生しました。ブログで速報しておりますとおり、バージョン4.4以下にXSS（クロスサイトスクリプティング）に関する脆弱性が発生しております。

対策版に関しましては各バージョンによって異なり、3.7.12、3.8.12、3.9.10、4.0.9、4.1.9、4.2.6、4.3.2、4.4.1になります。

（※2016年2月5日時点での最新バージョンはそれぞれ3.7.13、3.8.13、3.9.11、4.0.10、4.1.10、4.2.7、4.3.3、4.4.2となっております）

テーマに関しましては前述のとおり脆弱性が発生しませんでした。

プラグインに関しましては、21件の脆弱性が発見されました。そのうち超有名プラグインに脆弱性が発見されました。

1つ目は、ブログでも速報を書かせて頂きました通り、アクティブインストール8万以上、総ダウンロード数133万以上の人気プラグイン『WordPress Download Manager』にPrivileges Escalation（特権昇格）、ディレクトリリスティング、不正なファイルダウンロードの合計3件の脆弱性が発生しております。

このプラグインはWordPressにてファイルをダウンロードできるリンクをサイトに簡単に設置できるプラグインです。お使いの方は、バージョンの確認をすることを推奨します。

脆弱性はすでにアップデートによって修正済みで、最新版の適用で塞ぐことができます。
（※2016年2月5日時点での最新バージョンは2.8.9となっております）

2つ目は、ブログでも速報を書かせて頂きました通り、アクティブインストール10万以上、総ダウンロード数85万以上の人気プラグイン『Formidable Forms』にSQL Injection（エスキューエルインジェクション）の脆弱性が発生しております。

このプラグインはWordPressサイトに簡単にフォームを作成・設定できるプラグインです。お使いの方は、バージョンの確認をすることを推奨します。

脆弱性はすでにアップデートによって修正済みで、最新版の適用で塞ぐことができます。
（※2016年2月5日時点での最新バージョンは2.0.21となっております）

また、それ以外のプラグインに関しまして、今月はそこまで利用者の多い人気プラグインに関する脆弱性が発見されておりませんので、発生した脆弱性の深刻度の高いものを中心に列挙します。

• Simple Ads ManagerにてSQLインジェクション
• Appointment Booking CalendarにてSQLインジェクションとXSSとPrivileges Escalation（特権昇格）　3件
• WP Symposium ProにてCSRF

内容別レポート

脆弱性の内容別発生件数は、1位がXSSで11件、2位が SQLインジェクションで4件、3位がCSRFとPrivileges Escalation（特権昇格）でそれぞれ2件でした。

トピックス

12月度と比較して、脆弱性の総数が増加したことに合わせてXSS、SQLインジェクションは増加しました。CSRFは先月と同数です。先月はなかったPrivileges Escalation（特権昇格）が発生しております。

脆弱性一覧

2016年1月の脆弱性一覧をまとめましたのでご参照ください。

以下リストに掲載されている本体バージョン、テーマ、プラグインがある方は、一度診断されることをお勧めいたします。

脆弱性分類ですが、掲載時点の内容の為、ご確認いただく時点で内容不明の分類が変更されている可能性もございますので、それもKYUBIにて最新の状態をご確認いただくことをお勧めします。

また、ご確認のタイミングによっては新たな脆弱性が発見されている可能性もございますので、こちらもKYUBIにて一度ご診断していただくことをお勧めします。

また、バージョンに関しましては、脆弱性情報が発見されたものを記載しておりますが、そのバージョン未満でも同様の脆弱性が発生している可能性がある為、最新版に更新することをお勧めしております。

但し、最新版でも脆弱性内容が修正されていないプラグインも少なからず存在しておりますので、対策されていないプラグインをご利用の方は、ご利用を控えるか、別の同様のプラグインに変更されることをお勧めします。

表：2016年1月度脆弱性一覧

https://wp.kyubi.jp/