WordPress 2016年6月_脆弱性集計 2016/7/12
2016年6月度のWordPressに関する脆弱性レポートをお知らせします。
6月度全体の脆弱性報告件数としては35件でした。5月度から4件増加しております。
個所別レポート
個所別の発生件数は、それぞれ本体で6件、テーマは0件、プラグインが29件でした。
内容ですが、本体に関しまして今月は先月に引き続き6件の脆弱性が出ております。また先月に引き続き最多発生はプラグインとなり、脆弱性に気を配る必要があることがわかります。
テーマに関しましては今月も先月に引き続き、脆弱性が発生しませんでした。
トピックス
前述のとおり本体に6件の脆弱性が発生しております。内容としましては、ブログにて速報しております通り、バージョン4.5.2以下に①改定履歴の情報漏えい②クロスサイトスクリプティング（XSS）③不正なカテゴリー削除④DDoS攻撃⑤パスワードの変更⑥redirect bypassと合計6件の脆弱性が発生しております。
対策版に関しましては下表のとおりです。
| 現在ご利用のバージョン | 対策済みバージョン |
| 2.6~3.6.1 | 4.5.3 |
| 3.7~3.7.14 | 3.7.15 |
| 3.8~3.8.14 | 3.8.15 |
| 3.9~3.9.12 | 3.9.13 |
| 4.0~4.0.11 | 4.0.12 |
| 4.1~4.1.11 | 4.1.12 |
| 4.2~4.2.8 | 4.2.9 |
| 4.3~4.3.4 | 4.3.5 |
| 4.4~4.4.3 | 4.4.4 |
| 4.5~4.5.2 | 4.5.3 |
（※2016年7月12日現在の最新版です。）
テーマに関しましては前述のとおり今月は脆弱性が発生しませんでした。これは2カ月連続のことになります。
プラグインに関しましては、先月と同数の29件の脆弱性が発見されました。そのうち有名プラグインに脆弱性が発見されました。
1つ目は、ブログでも速報を書かせて頂きました通り、アクティブインストール30万以上、総ダウンロード数295万以上の人気プラグイン『EWWW Image Optimizer』に遠隔地からのコードが実行される脆弱性（Remote Code Execution）1件が発生しております。
このプラグインはWordPressにてアップした画像を自動で最適化・圧縮してくれる便利なプラグインです。お使いの方は、バージョンの確認をすることを推奨します。
脆弱性はすでにアップデートによって修正済みで、バージョン2.8.4以上への更新によって塞ぐことができます。
（※2016年7月12日時点での最新バージョンは2.9.3となっております。バグの修正なども行っておりますので、こちらの最新版へのアップデートをお勧めします。）
2つ目は、ブログでも速報を書かせて頂きました通り、アクティブインストール100万以上、総ダウンロード数2675万以上の人気プラグイン『Jetpack by WordPress.com』に①XSS（クロスサイトスクリプティング）②Eメール設定に関する不備③REST APIに関する不備と合計3件の脆弱性が発生しております。
このプラグインは1つのプラグインで、いくつもの機能が利用できる高機能なプラグインです。本プラグインに関します脆弱性は3カ月連続で発生しております。
お使いの方は、バージョンの確認をすることを推奨します。
脆弱性はすでにアップデートによって修正済みで、バージョン4.0.4以上への更新によって塞ぐことができます。
（※2016年7月12日時点での最新バージョンは4.1.1となっております。バグの修正なども行っておりますので、こちらの最新版へのアップデートをお勧めします。）
その他ご利用中の方が多い以下の人気プラグインにおいて脆弱性が発見されたため旧バージョンをご利用中の方は最新のプラグインにアップデートされることをお勧めいたします。
- WP Mobile Detectorにて任意のファイルアップロードに関する脆弱性
- Welcart e-Commerceにて①PHP オブジェクトインジェクション②クロスサイトスクリプティング（XSS） 2件③セッション管理不備の合計4件
- WP Security Audit Logにてクロスサイトスクリプティング（XSS）
内容別レポート
脆弱性の内容別発生件数は、1位がXSSで12件、2位がUPLOADとAUTHBYPASSでそれぞれ5件でした。
トピックス
5月度と比較して、脆弱性の総数は微差ながら増加しております。その要因はUPLOADとAUTHBYPASSの増加です。ただ逆にXSSの数は微減しております。
脆弱性一覧
2016年6月の脆弱性一覧をまとめましたのでご参照ください。
以下リストに掲載されている本体バージョン、テーマ、プラグインがある方は、一度診断されることをお勧めいたします。
脆弱性分類ですが、掲載時点の内容の為、ご確認いただく時点で内容不明の分類が変更されている可能性もございますので、それもKYUBIにて最新の状態をご確認いただくことをお勧めします。
また、ご確認のタイミングによっては新たな脆弱性が発見されている可能性もございますので、こちらもKYUBIにて一度ご診断していただくことをお勧めします。
また、バージョンに関しましては、脆弱性情報が発見されたものを記載しておりますが、そのバージョン未満でも同様の脆弱性が発生している可能性がある為、最新版に更新することをお勧めしております。
但し、最新版でも脆弱性内容が修正されていないプラグインも少なからず存在しておりますので、対策されていないプラグインをご利用の方は、ご利用を控えるか、別の同様のプラグインに変更されることをお勧めします。
表：2016年6月度脆弱性一覧
| 発見個所 | 脆弱性分類 | 脆弱性のある本体・プラグイン・テーマの名称 | 発見されたVer. |
| プラグイン | AUTHBYPASS | Advanced Access Manager | 3.2.1 |
| プラグイン | LFI | Advanced uploader | |
| プラグイン | XSS | CM Ad Changer | 1.7.7 |
| プラグイン | UPLOAD | Contus Video Comments | |
| プラグイン | SQLI | Double Opt-In for Download | 2.0.9 |
| プラグイン | RCE | EWWW Image Optimizer | 2.8.3 |
| プラグイン | XSS | Jetpack | 4.0.3 |
| プラグイン | OTHERS | Jetpack | 4.0.3 |
| プラグイン | OTHERS | Jetpack | 4.0.3 |
| プラグイン | XSS | Markdown on Save Improved | 2.5 |
| プラグイン | AUTHBYPASS | MemberSonic Lite | 1.2 |
| プラグイン | AUTHBYPASS | OneLogin SAML SSO | 2.1.5 |
| プラグイン | PRIVESC | OneLogin SAML SSO | 2.1.8 |
| プラグイン | PRIVESC | PeepSo | 1.6.0 |
| プラグイン | PRIVESC | Product Catalog | 3.8.1 |
| プラグイン | UPLOAD | Remote Upload | 1.2.1 |
| プラグイン | XSS | Resume Submissions & Job Postings | |
| プラグイン | XSS | SupportFlow | 0.6 |
| プラグイン | XSS | SupportFlow | 0.6 |
| プラグイン | XSS | Welcart e-Commerce | 1.8.2 |
| プラグイン | XSS | Welcart e-Commerce | 1.8.2 |
| プラグイン | OTHERS | Welcart e-Commerce | 1.8.2 |
| プラグイン | AUTHBYPASS | Welcart e-Commerce | 1.8.2 |
| 本体 | OTHERS | WordPress | 3.6-4.5.2 |
| 本体 | BYPASS | WordPress | 2.6.0-4.5.2 |
| 本体 | XSS | WordPress | 4.2-4.5.2 |
| 本体 | BYPASS | WordPress | 4.5.2 |
| 本体 | OTHERS | WordPress | 4.5.2 |
| 本体 | AUTHBYPASS | WordPress | 4.5.2 |
| プラグイン | XSS | WordPress File Monitor | 2.3.3 |
| プラグイン | UPLOAD | WordPress File Upload | 3.8.5 |
| プラグイン | UPLOAD | WordPress Levo-Slideshow | 2.3 |
| プラグイン | XSS | WordPress Levo-Slideshow | 2.3 |
| プラグイン | UPLOAD | WP Mobile Detector | 3.5 |
| プラグイン | XSS | WP Security Audit Log | 1.5-2.4.3 |