GiveWPプラグインに認証バイパスの脆弱性が発見 ― 今すぐバージョン2.5.5へ更新を

プラグイン名：GiveWP

脆弱性の種類：認証バイパスによる情報漏洩（Authentication Bypass with Information Disclosure）

影響を受けるバージョン：2.5.4 以前

修正済みバージョン：2.5.5

7万件以上のサイトにインストールされているWordPressの寄付プラグイン「GiveWP」において、先頃脆弱性が確認されました。

この脆弱性は深刻度の高いセキュリティ問題とされており、GiveWP 2.5.4以前を利用しているすべてのサイトが影響を受けます。該当する場合は、直ちにバージョン2.5.5へ更新してください。

この弱点により、未認証のユーザーでもAPIの認証処理を回避し、氏名・住所・メールアドレス・IPアドレスといった個人情報（PII）にアクセスできる可能性がありました。

認証バイパスの脆弱性とは？

認証バイパス攻撃は、主に脆弱な認証メカニズムが原因で発生します。

組織が強固なアクセス認証やポリシー管理を徹底していない場合、攻撃者は認証をすり抜けられることがあります。また、有効なセッションIDやCookieを盗み出されることによっても、認証メカニズムは突破され得ます。

GiveWPで実際に何が起きていたのか？

WordPressで最高評価を誇り、サポートも充実した寄付プラグインであるGiveWPは、寄付データをアプリケーションやWebページに連携するためのAPI機能を提供しています。

サイトオーナーは固有のAPIキー、トークン、秘密鍵を生成でき、それらを使って制限付きエンドポイントや寄付データへアクセスする仕組みです。

ところが、キーが一度も生成されていない場合、誰でも制限付きエンドポイントへアクセス可能でした。ユーザーはwp_usermetaテーブルから任意のメタキーを選択し、それを認証キーとして設定するだけでよかったのです。

以下はvalidate_request()メソッド内のAPI検証処理のコードです。

悪用の手口

キーをwp_usermetaテーブル内の任意のメタキー値に設定し、トークンを選択したメタキーのMD5ハッシュ値に一致させると、攻撃者は制限付きエンドポイントへリクエストを送信し、ドナー情報などの機密データへアクセスできてしまいました。

ご覧のとおり、取得できた情報には本来公開されるべきではない個人情報（PII）が含まれています。

サイトを守るためにできることは？

攻撃者は常にセキュリティ対策の甘いファイルを探し、アクセスを得ては情報を収集しようとしています。そして入手した情報をもとに、アプリケーションの仕組みを迂回して保護されたシステムへの攻撃を仕掛けます。

アップデートを行う

安全を確保するための第一歩は、システムを常に最新の状態に保つことです。今回の場合は、利用可能な最新バージョンへの更新が推奨されます。

9月20日にリリースされたバージョン2.5.5で、この脆弱性は修正されています。

強固な認証ポリシーを導入する

防御力をさらに高めるために、以下の対策も有効です。

• 信頼性の高いアンチウイルスソフトを導入する
• 安全で強固な認証ポリシーを策定・運用する
• すべてのシステム、アプリ、フォルダにパスワード保護を設定する

Webアプリケーションファイアウォール（WAF）でサイトを守る

Web Application Firewall（WAF）は、Webアプリケーションとインターネットの間に立つ盾のような存在です。AstraのようなWAFを導入すれば、SQLインジェクション、XSS、LFI、RFI、不正ボット、スパムなど100種類以上の脅威からリアルタイムでサイトを保護できます。

今すぐ無料デモをお試しください。