WordPress 2018年12月_脆弱性レポート 2019/1/8
2018年12月度のWordPressに関する脆弱性レポートをお知らせします。
12月度全体の脆弱性報告件数としては25件となっており、2018年11月度から14件増加しております。
個所別レポート
個所別の発生件数は、それぞれ本体が7件、テーマが0件、プラグインが18件でした。
本体に関しまして、今月は複数の脆弱性が発生しております。
2018年6月ぶりの発生になります。
テーマに関しましては、今月は脆弱性が発生しませんでした。
また、先月に引き続き最多発生はプラグインとなり、脆弱性に気を配る必要があることがわかります。
トピックス
前述のとおり本体に関しましては、脆弱性が7件発生しております。
ブログにて速報しております通り、バージョン5.0以下において、XSSなどが発生する可能性があります。
すでに対策バージョン5.0.1がリリースされており、WordPress 3.7以降のすべてのバージョンのセキュリティを修正しました。
（参照リンク：WordPress 5.0.1 Security Release）
対策版に関しましては下表のとおりです。
| 現在ご利用のバージョン | 対策済みバージョン |
| 3.7~3.7.27 | 5.0.1 |
| 3.8~3.8.27 | 5.0.1 |
| 3.9~3.9.25 | 5.0.1 |
| 4.0~4.0.24 | 5.0.1 |
| 4.1~4.1.24 | 5.0.1 |
| 4.2~4.2.21 | 5.0.1 |
| 4.3~4.3.17 | 5.0.1 |
| 4.4~4.4.16 | 5.0.1 |
| 4.5~4.5.15 | 5.0.1 |
| 4.6~4.6.12 | 5.0.1 |
| 4.7~4.7.11 | 5.0.1 |
| 4.8~4.8.7 | 5.0.1 |
| 4.9~4.9.8 | 5.0.1 |
| 5.0 | 5.0.1 |
（※対策済みバージョンは5.0.1のみとなっておりますのでご注意ください。）
テーマに関しましては、脆弱性が発生しませんでした。
プラグインに関しましては先月から7件増加し、18件の脆弱性が発見されました。そのうち2件の有名プラグインに脆弱性が発見されております。
1つ目は、アクティブインストール500万以上、総ダウンロード数1億482万以上の人気プラグイン『Jetpack』にXSSの脆弱性が発生しております。
このプラグインは、WordPressを利用する上で便利なアクセス解析や問い合わせフォーム、SNS自動共有など約30種の機能をパックしているプラグインです。
お使いの方も多いと思いますので、すぐにバージョンの確認をすることを推奨します。
脆弱性はすでにアップデートによって修正済みで、バージョン6.5以上への更新によって塞ぐことができます。
（※2019年1月8日現在の最新版はバージョン6.8.1ですのでこちらの最新版への更新をお勧めします。）
2つ目は、アクティブインストール400万以上、総ダウンロード数5843万以上の人気プラグイン『WooCommerce』にXSSとRCEの脆弱性が発生しております。
このプラグインは、WordPress上でショッピングカートを動作させるプラグインです。
お使いの方は、バージョンの確認をすることを推奨します。
脆弱性はすでにアップデートによって修正済みで、バージョン3.4.6以上への更新によって塞ぐことができます。
（※2018年12月7日現在の最新版はバージョン3.5.3ですのでこちらの最新版への更新をお勧めします。）
その他ご利用中の方が多い以下の人気プラグインにおいて脆弱性が発見されたため、旧バージョンをご利用中の方は最新のプラグインにアップデートされることをお勧めいたします。
- All in One SEO PackにてXSS
- Google Analytics by Monster InsightsにてXSS
- WPFormsにてXSS
- Smush Image Compression and OptimizationにてOBJECTINJECTION
- WP Mail SMTP by WPFormsにてXSS
- Ninja FormsにてREDIRECT
- RedirectionにてCSRF
- Download Advanced Custom FieldsにてXSS
内容別レポート
脆弱性の内容別発生件数は、1位がXSSで13件、2位がその他で3件、3位がBYPASSとOBJECTINJECTIONで2件ずつでした。
トピックス
11月度と比較してみると、XSSの発生件数が増加しており、より多くの種類の脆弱性タイプが発生しました。
先月に引き続き、XSSの脆弱性は発見されやすい傾向にあります。
脆弱性一覧
2018年12月の脆弱性一覧をまとめましたのでご参照ください。
以下リストに掲載されている本体バージョン、テーマ、プラグインがある方は、一度診断されることをお勧めいたします。
脆弱性分類ですが、掲載時点の内容の為、ご確認いただく時点で内容不明の分類が変更されている可能性もございますので、それもKYUBIにて最新の状態をご確認いただくことをお勧めします。
また、ご確認のタイミングによっては新たな脆弱性が発見されている可能性もございますので、こちらもKYUBIにて一度ご診断していただくことをお勧めします。
また、バージョンに関しましては、脆弱性情報が発見されたものを記載しておりますが、そのバージョン未満でも同様の脆弱性が発生している可能性がある為、最新版に更新することをお勧めしております。
但し、最新版でも脆弱性内容が修正されていないプラグインも少なからず存在しておりますので、対策されていないプラグインをご利用の方は、ご利用を控えるか、別の同様のプラグインに変更されることをお勧めします。
表：2018年12月度脆弱性一覧
| 発見個所 | 脆弱性分類 | 脆弱性のある本体・プラグイン・テーマの名称 | 発見されたVer. |
| 本体 | XSS | File Upload to XSS on Apache Web Servers | 5.0 |
| 本体 | UNKNOWN | User Activation Screen Search Engine Indexing | 5.0 |
| 本体 | XSS | Cross-Site Scripting (XSS) that could affect plugins | 5.0 |
| 本体 | XSS | Authenticated Cross-Site Scripting (XSS) | 5.0 |
| 本体 | OBJECTINJECTION | PHP Object Injection via Meta Data | 5.0 |
| 本体 | BYPASS | Authenticated Post Type Bypass | 5.0 |
| 本体 | UNKNOWN | Authenticated File Delete | 5.0 |
| プラグイン | AUTHBYPASS | Orbit Fox by ThemeIsle | 2.6.3 |
| プラグイン | BYPASS | Social Sharing Plugin – Kiwi | 2.0.10 |
| プラグイン | XSS | WPForms | 1.4.7 |
| プラグイン | XSS | WPForms | 1.4.8 |
| プラグイン | UNKNOWN | PropertyHive | 1.4.25 |
| プラグイン | OBJECTINJECTION | Smush Image Compression and Optimization | 2.9.1 |
| プラグイン | XSS | WP Mail SMTP by WPForms | 1.3.3 |
| プラグイン | XSS | Import users from CSV with meta | 1.12 |
| プラグイン | SQLi | Arigato Autoresponder and Newsletter | 2.5.1.8 |
| プラグイン | XSS | Arigato Autoresponder and Newsletter | 2.5.1.8 |
| プラグイン | XSS | Google Analytics by Monster Insights | 7.1.0 |
| プラグイン | REDIRECT | Ninja Forms | 3.3.19 |
| プラグイン | XSS | Jetpack | 6.4.2 |
| プラグイン | CSRF | Redirection | 3.6.2 |
| プラグイン | XSS | All in One SEO Pack | 2.9.1.1 |
| プラグイン | XSS | WooCommerce | 3.4.5 |
| プラグイン | RCE | WooCommerce | 3.4.5 |
| プラグイン | XSS | Download Advanced Custom Fields | 5.7.7 |