Tenable ブログ
ブログ通知を受信する
人気のWordPress向け「AMP for WP」プラグイン、特権昇格攻撃に脆弱
WordPress向け「AMP （Accelerated Mobile Pages）for WP」プラグイン、特権昇格攻撃に脆弱。 バージョン 「0.9.97.20」でこの脆弱性が修正。
11月19日更新： The original posting of this blog credited WebARX security with the discovery of the vulnerability. This was incorrect as this initial discovery was made by plugin developer Sybre Waaijer. The text below has been corrected, and the reference links now include the wpvulndb page.
背景
Following the discovery of a critical vulnerability in the WP GDPR Compliance Plugin, another critical WordPress plugin vulnerability was discovered this week in the popular AMP for WP plugin by Sybre Waaijer. このプラグインは、「WordPress」においてモバイル端末向けのページ表示を高速化するGoogle Accelerated Mobile Pages（AMP）の機能を追加することができます。
古いバージョンのプラグインには、権限を持たないWordPressサイトユーザーが管理者の権限を必要とするAPI呼び出しを行うことを可能にする権限昇格の脆弱性が存在します。
分析
WordPressでは、すべてのユーザーは AJAX API呼び出しを作成してサイトを管理したり、サイト管理に必要なさまざまな関数を呼び出すことができます。しかし、このプラグインの古いバージョンには、現在ログインしているユーザーのアカウント権限を確認するためのwpnonceチェックが含まれていなかったため、サイトへのログインを持つすべてのユーザーに対する管理APIアクセスが有効になりました。
WordPressの管理者権限は、広告の配置、カスタムHTML、および手動のWordPressプラグインのアップロードを可能にします。外部の攻撃者の観点からみると、登録ユーザーやゲストユーザーは管理者アクセスが可能なベクトルです。
概念実証
ソリューション
プラグインの更新版は、WordPressの自動更新を介して入手できます。また、プラグインの更新プログラムはこちらからダウンロードできます。
影響を受けているシステムの特定
プラグインは、101841は、AMP for WPプラグインを含む古いWordPressプラグインを検出しますが、この特定の問題の深刻度は反映されていません。
この脆弱性を識別するための Tenable のプラグインのリストは、リリースされた時点で こちら に表示されます。
詳細情報
最新のアタックサーフェスを総合的に管理する初のサイバーエクスポージャープラットフォーム、 Tenable.io の詳細情報をご覧ください。今すぐ Tenable.io Vulnerability Management の60日間無料トライアルをお試しください。
関連記事
CVE-2024-47575: Frequently Asked Questions About FortiJump Zero-Day in FortiManager and FortiManager Cloud
October 23, 2024Frequently asked questions about a zero-day vulnerability in Fortinet’s FortiManager that has reportedly been exploited in the wild.
From Bugs to Breaches: 25 Significant CVEs As MITRE CVE Turns 25
October 22, 2024Twenty five years after the launch of CVE, the Tenable Security Response Team has handpicked 25 vulnerabilities that stand out for their significance.
Oracle October 2024 Critical Patch Update Addresses 198 CVEs
October 15, 2024Oracle addresses 198 CVEs in its fourth quarterly update of 2024 with 334 patches, including 35 critical updates.
Securing Financial Data in the Cloud: How Tenable Can Help
November 4, 2024Preventing data loss, complying with regulations, automating workflows and managing access are four key challenges facing financial institutions. Learn how Tenable can help.
Cybersecurity Snapshot: Apply Zero Trust to Critical Infrastructure’s OT/ICS, CSA Advises, as Five Eyes Spotlight Tech Startups’ Security
November 1, 2024Should critical infrastructure orgs boost OT/ICS systems’ security with zero trust? Absolutely, the CSA says. Meanwhile, the Five Eyes countries offer cyber advice to tech startups. Plus, a survey finds “shadow AI” weakening data governance. And get the latest on MFA methods, CISO trends and Uncle Sam’s AI strategy.
FY 2024 State and Local Cybersecurity Grant Program Adds CISA KEV as a Performance Measure
October 31, 2024The CISA Known Exploited Vulnerabilities (KEV) catalog and enhanced logging guidelines are among the new measurement tools added for the 2024 State and Local Cybersecurity Grant Program.
- Vulnerability Management
- Vulnerability Scanning