WordPressライブチャットプラグインの脆弱性CVE-2019-12498とは?チャットセッション乗っ取りの脅威と対策

50,000以上のサイトにインストールされているWordPressの「WP Live Chat Support」プラグインに、重大な脆弱性CVE-2019-12498が再び確認されました。この脆弱性を悪用すると、認証を受けていない第三者でもチャット履歴を盗み見たり、進行中のチャットセッションを乗っ取ったりすることが可能になります。影響を受けるのはバージョン8.0.32以前です。本記事では、WP Live Chat Supportの脆弱性の詳細と対策について解説します。

背景：相次ぐ脆弱性の発覚

実は、わずか1か月前にも同プラグインには深刻なクロスサイトスクリプティング(XSS)の脆弱性が発見されていました。この脆弱性の悪用によって多数のWordPressサイトが被害を受け、WordPress公式ディレクトリでは新規インストールが一時的に停止されるという事態にまで発展しました。

関連記事:WordPress Live Chat Supportプラグインにおけるクロスサイトスクリプティング(XSS)の脆弱性

技術的詳細：WP Live Chat Supportの脆弱性の仕組み

研究者の調査によると、この脆弱性はプラグイン内部の権限検証チェックの不備に起因しています。これにより、認証されていないユーザーがREST APIの機能へアクセスできるようになり、結果としてログイン済みユーザーと同等の権限を不正に取得してしまいます。そのため、チャットログの窃取やチャットセッションの改ざん・操作が行える状態になっていました。

問題となったのは、下図のようにregister_rest_routeで登録された「チャットの受け入れ(accept chat)」「チャットの終了(end chat)」「メッセージ送信(send message)」といったREST APIルートです。

さらに、権限チェックを担うwplc_api_permission_check関数の処理に欠陥があり、ログインユーザー向けの権限チェックが常に「true」を返してしまうため、未ログインのユーザーであってもアクセスが許可される状態になっていたのです。

WordPressサイトがハッキングされていないかご心配ですか?お気軽にお問い合わせください。迅速にサポートいたします。

リスク:想定される被害

研究者によると、WP Live Chat Supportの脆弱性により、ウェブサイトには以下のようなリスクがもたらされます。

• 攻撃者がすべてのチャットセッションの履歴全体を抽出できる
• ハッカーがアクティブなチャットセッションを乗っ取り、意のままに操作できる
• サービス拒否(DoS)攻撃の一環として、進行中のチャットセッションを強制終了させられる
• 注入されたメッセージを後から編集し、その内容や痕跡を隠蔽できる

WordPressサイトがハッキングされていないかご心配ですか?お気軽にお問い合わせください。迅速にサポートいたします。

まとめ:WP Live Chat Supportの脆弱性への対応

1. 最新バージョンへのアップデート

セキュリティ研究者からの報告を受け、開発元は修正済みのバージョン8.0.34をリリースしました。現在バージョン8.0.32以下を使用している場合は、速やかに最新版8.0.34へアップデートすることで、この脆弱性によるリスクを低減できます。

2. 包括的なセキュリティソリューションの導入

深刻なハッキング被害からの復旧に追われるよりも、24時間体制でウェブサイトを防御する方がはるかに効果的です。Webアプリケーションファイアウォール(WAF)は常時監視システムとして機能し、ハッキングやサイバー攻撃の試みからサイトを保護します。Astraが提供するインテリジェントなファイアウォールは、XSS、SQLインジェクション(SQLi)、悪質なボット、CSRFなど100種類以上のサイバー攻撃を阻止し、悪意のあるIPアドレスを自動的に検出・遮断します。WAFの導入は、ウェブサイトのセキュリティレベルを大幅に向上させるでしょう。

Astraのデモを今すぐお試しください!