Elementor Pro・Ultimate Add-onsが大規模攻撃の標的に――WordPressサイトは今すぐアップデートを

人気WordPressプラグイン「Elementor Pro」と「Ultimate Add-ons for Elementor」を狙った大規模な攻撃キャンペーンが確認されました。これらのプラグインがインストールされた100万以上のWordPressサイトが標的となっています。ゼロデイ脆弱性が発覚して以降、両プラグインの開発元は急遽対応に取りかかり、修正済みバージョンをリリースしました。

• Elementor Pro: 2.9.4
• Ultimate Add-ons for Elementor: 1.24.2

旧バージョンをご利用の場合は、必ず上記バージョンへアップデートしてください。

2020年6月6日更新： Elementor Page Builderプラグインにおいて、新たに重大な保存型XSS(ストアドXSS)脆弱性が発見されました。この脆弱性により、投稿者(Author)権限レベルのユーザーが悪意あるXSSペイロードを含むカスタムリンクを作成したり、ウィジェットにカスタム属性を追加できるため、保存型XSSのリスクとなります。修正はバージョン2.9.10でリリース済みですので、速やかにアップデートを行ってください。

ハッキングの手口の詳細

Elementor Proには、ユーザー登録を開放しているWordPressサイトにおいて、リモートコード実行(RCE)を許してしまう脆弱性がありました。原因は、購読者(Subscriber)レベルのユーザーに与えられていたファイルアップロード権限です。購読者はサイト上にアイコンセット(zip形式)をアップロードすることが可能でした。

さらにElementor Proには検証チェックが欠けていたため、疑わしい拡張子やファイル内容もそのままアップロードできてしまいました。その結果、最低限の認証を持つハッカーでも、実行可能な悪意あるコードを含む.zipファイルをアップロードできる状態だったのです。コードが一度実行されれば、攻撃者はほぼ何でも行えます。シェルやマルウェアのアップロード、バックドアの設置、偽ユーザーの追加、管理者権限の奪取、設定の改ざん、さらにはサイト全体の削除まで可能になります。

Elementor Proがリリースしたパッチでは、zipファイルの中身を検証するコードが追加されました。これにより、アップロードを許可されるのはCSS、EOT、HTML、JSON、OTF、SVGなどの安全なファイル形式のみとなっています。

さらに別のパッチでは、ファイルアップロードを管理者およびスーパー管理者権限を持つユーザーのみに制限しました。購読者ロールのユーザーがzipファイルをアップロードしようとすると、エラーが表示される仕組みです。

一方、Ultimate Add-onsプラグイン自体には、ファイルアップロードに関するルールの欠如という問題はありません。しかし、誰でも購読者レベルのアクセス権を取得できる点が大きな問題でした。しかも、登録フォームが有効化されていないサイトであっても同様です。

Ultimate Add-ons for Elementorのこの脆弱性は、Elementor Proにおけるより深刻なRCE脆弱性を突くための足掛かりとなります。つまり、サイトに登録フォームが存在しなくても、攻撃者は自分自身を購読者として登録でき、それこそがElementor ProのRCE脆弱性を悪用するための最低条件となるのです。

なお、この脆弱性はElementor Proにのみ存在するものであり、無料版Elementorのユーザーはこの攻撃の影響を受けません。

被害の防止と対応策

Astraをご利用のお客様であれば心配いりません。Astraはすでにこの種のファイルアップロードを自動的にブロックしています。念のため、ダッシュボードにログインし、「Settings(設定)>File Upload Rules(ファイルアップロードルール)」を開いて、トグルが有効になっているかご確認ください。

さらに拡張子をブロックしたい場合は、悪意あるアップロードの試みを防ぐファイルアップロードルールを独自に追加することもできます。

その他のElementor ProおよびUltimate Add-ons for Elementorのユーザーは、修正済みバージョンへのアップデートを強くお勧めします。前述の通り、修正版はElementor Pro 2.9.4、Ultimate Add-ons for Elementor 1.24.2です。

万が一ハッキングの被害を受けてしまった場合は、Astraによる緊急マルウェア駆除サービス(4時間以内に完了)をご利用いただき、サイトを正常な状態へ復旧させることができます。

アップデートを完了した後は、WordPressセキュリティガイドも併せて参照し、サイトのセキュリティをさらに強化しておきましょう。