WordPress 2017年9月_脆弱性レポート 2017/10/10
2017年9月度のWordPressに関する脆弱性レポートをお知らせします。
9月度全体の脆弱性報告件数としては24件でした。8月度から3件増加しております。
個所別レポート
個所別の発生件数は、それぞれ本体で7件、テーマは1件、プラグインが16件でした。
内容ですが、本体に関して7件の脆弱性が発生しました。5月以来の発生です。
テーマに関しましては今月は1件の脆弱性が発生しました。
また先月に引き続き最多発生はプラグインとなり、脆弱性に気を配る必要があることがわかります。
トピックス
前述のとおり本体に関しましては、脆弱性が7件発生しております。
内容としましては、ブログにて速報しております通り、バージョン4.8.1以下（正確には各脆弱性ごとにバージョンの範囲が異なります。詳細は記事下部にある表をご参照ください。）にSQLインジェクションやクロスサイトスクリプティング（XSS）等合計7件の脆弱性が発生しております。
（参照リンク：WordPress 4.8.2 Security and Maintenance Release）
対策版に関しましては下表のとおりです。
（注：上記7件の脆弱性分を併せて記載しておりますのですべての脆弱性が下表に該当するわけではないのでご理解くださいませ。）
| 現在ご利用のバージョン | 対策済みバージョン |
| 0.7.0~3.6.1 | 4.8.2 |
| 3.7~3.7.21 | 3.7.22 |
| 3.8~3.8.21 | 3.8.22 |
| 3.9~3.9.19 | 3.9.20 |
| 4.0~4.0.18 | 4.0.19 |
| 4.1~4.1.18 | 4.1.19 |
| 4.2~4.2.15 | 4.2.16 |
| 4.3~4.3.11 | 4.3.12 |
| 4.4~4.4.10 | 4.4.11 |
| 4.5~4.5.9 | 4.5.10 |
| 4.6~4.6.6 | 4.6.7 |
| 4.7~4.7.5 | 4.7.6 |
| 4.8~4.8.1 | 4.8.2 |
（※2017年11月14日に最新バージョン4.9がリリース予定です。）
テーマに関しましては前述のとおり脆弱性が1件発生しました。
内容は、クロスサイトスクリプティング（XSS）です。
プラグインに関しましては、先月から3件減少し16件の脆弱性が発見されました。そのうち有名プラグインに脆弱性が発見されました。
1つ目は、アクティブインストール60万以上、総ダウンロード数489万以上の人気プラグイン『BackWPup』にBYPASSの脆弱性が発生しております。
このプラグインは、WordPressにおいて定期的に自動でバックアップが取れるプラグインです。
お使いの方は、バージョンの確認をすることを推奨します。
脆弱性はすでにアップデートによって修正済みで、バージョン3.4.2以上への更新によって塞ぐことができます。
（※2017年10月6日現在の最新版はバージョン3.4.3ですのでこちらの最新版への更新をお勧めします。）
2つ目は、アクティブインストール10万以上、総ダウンロード数88万以上のプラグイン『Wordpress WP Job Manager』にUPLOADの脆弱性が発生しております。
このプラグインは、WordPressにて求人ページを作るプラグインです。
お使いの方は、バージョンの確認をすることを推奨します。
脆弱性はすでにアップデートによって修正済みで、バージョン1.26.2以上への更新によって塞ぐことができます。
（※2017年10月6日現在の最新版はバージョン1.29.0ですのでこちらの最新版への更新をお勧めします。）
その他ご利用中の方が多い以下の人気プラグインにおいて脆弱性が発見されたため旧バージョンをご利用中の方は最新のプラグインにアップデートされることをお勧めいたします。
- VaultPressにて遠隔でのコード実行（Remote Code Execution、RCE）
- Participants Databaseにてクロスサイトスクリプティング（XSS）
- WP e-Commerceにて遠隔でのコード実行（Remote Code Execution、RCE）
- Shibbolethにてクロスサイトスクリプティング（XSS）
内容別レポート
脆弱性の内容別発生件数は、1位がXSSで8件、2位がSQLインジェクションで6件、3位がRCEで3件でした。
トピックス
8月度と比較して、脆弱性の数は増加しているが、1位、2位のXSSとSQLインジェクションなどは微減しており、そのほかの脆弱性が微増となっております。
脆弱性一覧
2017年9月の脆弱性一覧をまとめましたのでご参照ください。
以下リストに掲載されている本体バージョン、テーマ、プラグインがある方は、一度診断されることをお勧めいたします。
脆弱性分類ですが、掲載時点の内容の為、ご確認いただく時点で内容不明の分類が変更されている可能性もございますので、それもKYUBIにて最新の状態をご確認いただくことをお勧めします。
また、ご確認のタイミングによっては新たな脆弱性が発見されている可能性もございますので、こちらもKYUBIにて一度ご診断していただくことをお勧めします。
また、バージョンに関しましては、脆弱性情報が発見されたものを記載しておりますが、そのバージョン未満でも同様の脆弱性が発生している可能性がある為、最新版に更新することをお勧めしております。
但し、最新版でも脆弱性内容が修正されていないプラグインも少なからず存在しておりますので、対策されていないプラグインをご利用の方は、ご利用を控えるか、別の同様のプラグインに変更されることをお勧めします。
表：2017年9月度脆弱性一覧
| 発見個所 | 脆弱性分類 | 脆弱性のある本体・プラグイン・テーマの名称 | 発見されたVer. |
| 本体 | SQLI | WordPress- $wpdb->prepare() potential SQL Injection | 2.3.0-4.8.1 |
| 本体 | REDIRECT | WordPress- Open Redirect | 2.9.2-4.8.1 |
| 本体 | LFI | WordPress- Path Traversal in Unzipping | 3.0-4.8.1 |
| 本体 | LFI | WordPress- Path Traversal in Customizer | 4.4-4.8.1 |
| 本体 | XSS | WordPress- Cross-Site Scripting (XSS) in oEmbed | 4.4-4.8.1 |
| 本体 | XSS | WordPress- Authenticated Cross-Site Scripting (XSS) in Visual Editor | 4.2.3-4.8.1 |
| 本体 | SQLI | WordPress- Authenticated SQL injection | 2.3.0-4.7.4 |
| テーマ | XSS | Pinfinity Theme | 1.9.2 |
| プラグイン | SQLI | Responsive Image Gallery, Gallery Album | 1.2.0 |
| プラグイン | RCE | Basic Contact Form | 1.0.3 |
| プラグイン | SQLI | WatuPRO | 5.5.1 |
| プラグイン | SQLI | WP Like Post | 1.5.2 |
| プラグイン | SQLI | SQL Shortcode | 1.1 |
| プラグイン | XSS | SmokeSignal | 1.2.6 |
| プラグイン | AUTHBYPASS | Student Result or Employee Database | 1.6.3 |
| プラグイン | XSS | Shibboleth | 1.7 |
| プラグイン | UPLOAD | WordPress WP Job Manager | 1.26.1 |
| プラグイン | RCE | MarketPress | 3.2.6 |
| プラグイン | RCE | VaultPress | 1.89-1.9 |
| プラグイン | UNKNOWN | Display Widgets | 2.6.0-2.6.3.1 |
| プラグイン | XSS | 2kb Amazon Affiliates Store | 2.1.0 |
| プラグイン | XSS | Content Audit | 1.9.1 |
| プラグイン | XSS | Participants Database | 1.7.5.9 |
| プラグイン | BYPASS | BackWPup | 3.4.1 |