WordPressプラグイン「Yellow Pencil」の脆弱性が悪用される ― 認証されていないユーザーによるリダイレクトと不正追加の被害

WordPressプラグイン「Yuzo Related Posts」の悪用騒動がまだ収まらないうちに、今度は「Yellow Pencil Visual Theme Customizer」プラグインにおける脆弱性の悪用が新たに報告されました。このプラグインは、WordPress公式ディレクトリから削除された時点で3万件以上のアクティブインストール数を誇る人気プラグインでした。セキュリティ研究者によって同プラグイン内の2つの脆弱性が公開されると、攻撃の試みは一気に拡大しました。その結果、多くのWordPressサイトが悪意のある外部サイトへ強制的にリダイレクトされる被害が発生しています。

現在の「Yellow Pencil」悪用の状況

筆者がWordPress公式ディレクトリでYellow Pencil Visual Theme Customizerを検索したところ、次のような結果が表示されました。

表示内容によると、最終更新はわずか23時間前(4月12日)で、新バージョン7.2.0もリリースされています。それにもかかわらず、WordPress側は攻撃の頻発を受けて、このプラグインを公式ページから削除しました。さらに、Yellow Pencil Visual Theme Customizerを現在使用しているユーザーには、攻撃が自分のWordPressサイトに及ぶのを防ぐため、速やかにアンインストールすることが強く推奨されています。

関連記事:WordPress管理画面へのハッキング対策

「Yellow Pencil」プラグインの脆弱性の詳細

今回問題となったのは、あるブログ上でPoC(概念実証コード)とともに公開された、以下の2つの脆弱性です。

WordPressサイトが勝手にリダイレクトされたり、見覚えのないユーザーが追加されたりしていませんか?Astraまでご相談ください。チャットウィジェットからいつでもお問い合わせいただけます。
ハッキングされたWordPressサイトを今すぐ復旧しましょう。

権限昇格の脆弱性

最初に悪用されているのが「権限昇格(Privilege Escalation)の脆弱性」です。原因は、プラグイン内の yellow-pencil.php ファイルにある不備です。このファイルでは、yp_remote_get_first() 関数が定義されており、(yp_remote_get)関数から送信されるリクエストを検証する仕組みになっています。しかしこの処理に欠陥があるため、認証されていないユーザーでも管理者と同等の権限を取得できてしまうのです。

CSRF(クロスサイトリクエストフォージェリ)チェックの欠如

2つ目の脆弱性は、特定の関数の不具合ではなく、CSRF(クロスサイトリクエストフォージェリ)チェックが実装されていないことに起因します。本来であればCSRFチェックが、こうした攻撃に対する追加の防御壁となるはずでした。このチェックが存在しないため、認証されていないユーザーでもこのバグを容易に悪用できる状態になっていました。

さらに注目すべき点として、「Yuzo Related Posts」や「Social Warfare」など、最近発生した一連の攻撃がすべて同一のIPアドレスから実行されていることが判明しています。このことから、WordPressと対立関係にあるセキュリティ研究者が連続攻撃の背後にいるとの推測もされています。

関連ガイド:WordPressマルウェア駆除の手順

まとめ ― 「Yellow Pencil」プラグインの悪用への対策

最近の一連の事例からも分かるように、基本的な対策はアンインストール・アップデート・初期化です。加えて、Astra Firewall for WordPressのようなファイアウォールを導入すれば、ゼロデイ攻撃を含むさまざまな脅威からサイトを守ることができます。Astra Website Security Suiteは、ウェブサイトのためのオールインワン型セキュリティソリューションです。マルウェアスキャナーが短時間でサイトを診断し、修復まで行います。

Astraのデモを今すぐお試しください!