人気WordPressプラグイン「Ninja Forms」に任意ファイルアップロードとパストラバーサルの脆弱性が発見

Ninja Formsは、ドラッグ&ドロップ操作だけでフォームの作成やカスタマイズを手軽に行えるWordPressプラグインです。現在100万以上のウェブサイトで利用されており、その人気の高さがうかがえます。しかし先日、同プラグインの「File Upload」拡張機能に任意ファイルアップロードおよびパストラバーサルの脆弱性が存在することが明らかになり、多くのユーザーに衝撃を与えました。

この脆弱性は、情報セキュリティ企業Onvioによって発見されました。同社はペネトレーションテストの結果を「PENTEST REVEALS VULNERABILITIES IN WORDPRESS PLUGIN NINJA FORMS <= 3.0.22」という記事で公開しています。

以下では、ペネトレーションテストで判明した脆弱性の詳細をご紹介します。

脆弱性の詳細

Onvioは、クライアント向けのペネトレーションテストを実施中に、Ninja Formsがパストラバーサルと任意のコード実行を許してしまうことを発見しました。

この問題により、認証を受けていない攻撃者でもファイルシステム内を自由に移動して重要なファイルへアクセスし、includes/fields/upload.php(アップロード/送信ページ)のnameパラメータとtmp_nameパラメータを通じてコードを実行できる状態になっていたのです。

任意ファイルアップロード

攻撃者がサーバーへ送信したリクエストは、以下の画像の通りです。

そして、攻撃者が受け取ったレスポンスがこちらです。

上記レスポンス内のtmp_nameを利用し、攻撃者は悪意あるアクセスとして検知されないよう、角括弧を含むファイル名で再度サーバーにリクエストを送信しました。

結果は予想どおりでした。WordPressのsanitize_file_name関数は、事前定義された一部の特殊文字しかサニタイズしないため、このケースでは角括弧が削除されます。その結果、<?php phpinfo(); ?>という内容を含むtest.png.docファイルが、コアファイルであるtest.phpとしてアップロードされてしまったのです。

パストラバーサル

攻撃者は次に、以下のコードを使ってwp-config.phpファイルの取得を試みました。その結果、データベースの機密情報が表示されてしまいました。

安全のための対策

Ninja Formsの脆弱性は、脆弱性のあるバージョン3.0.22に代わるバージョン3.0.33のリリースによりすでに修正されています。今すぐ最低限行うべき対策は、サイトを最新バージョンへ更新することです。

WordPress向けセキュリティソリューション「Astra」

Astraのような包括的なセキュリティソリューションを導入すれば、WordPressサイトを24時間365日、あらゆるハッキングから保護できます。Astraのファイアウォールはトラフィックを常時監視し、XSS、CSRF、悪質ボットをはじめとする100種類以上の攻撃をブロックします。月額19ドルから利用可能なため、個人ブログでも導入しやすい価格設定も魅力です。WordPressなどのCMS向けに特別に設計されたAstraで、深刻なトラブルからサイトを守りましょう。まずは無料デモをお試しください。