Tenable ブログ
ブログ通知を受信する
ThemeGrill Demo Importer の脆弱性を悪用する攻撃が確認される
ThemeGrill Demo Importer WordPress プラグインの深刻な脆弱性を悪用する攻撃がされています。 ユーザーは早急にバージョン1.6.3にアップグレードする必要があります。
背景
ThemeGrill Demo Importer WordPress プラグインを使用するとユーザーはワンクリックで ThemeGrill テーマのデモをインポートできます。バージョン1.3.4から1.6.2には、リモートの認証されていないユーザーによるデータベースワイプおよび認証バイパスの脆弱性が存在します。1.6.2以下に対する活発な攻撃活動が報告されているためバージョン1.6.3にアップグレードすることを推薦します。
分析
2月15日、WebARX は、WordPress 用 ThemeGrill Demo Importer の脆弱性を開示しました。 この脆弱性により、認証されていないリモートの攻撃者がすべてのサイトの設定をデフォルトの設定に戻したり、すべてのデータベーステーブルを消去したりするなどの管理者機能を実行する可能性があります。
この脆弱性を悪用するには、ThemeGrill テーマをサイトにインストールしてアクティブ化する必要があります。ユーザー名が「admin」の管理ユーザーがいる場合、攻撃者はサイトのワイプ後に「admin」として自動的にログインします。
概念実証
現時点で公開されている概念実証（PoC）はありませんが、WebARX によりこの脆弱性を突く攻撃が報告されています。既知の悪意のあるIPのリストは WebARX 開示ページの下部にあります。
ベンダー応答
2月16日、ThemeGrill はこの脆弱性に対処するために1.6.2をリリースしましたが、脆弱性が引き続き悪用されていることが報告されたため、2月18日にバージョン1.6.3をリリースしました。バージョン1.6.3は、フルリセットの自動呼び出しを削除し、代わりにプラグインのリセットウィザードにユーザーを誘導します。
ソリューション
現時点では、プラグインの機能を中断させない有効な緩和策はないため、バージョン1.6.3にアップグレードすることを推薦します。
影響を受けているシステムの特定
この脆弱性を識別するための Tenable のプラグインのリストは、リリースされた時点で こちら に表示されます。
詳細情報
Tenable コミュニティの Tenable セキュリティレスポンスチームに参加してみませんか。
現代のアタックサーフェスを総合的に管理する Cyber Exposure Platform を初めて提供した Tenable について詳細情報をご覧ください。
今すぐ Tenable.io Vulnerability Management の 30 日間無料トライアルをお試しいただけます。
関連記事
CVE-2024-47575: Frequently Asked Questions About FortiJump Zero-Day in FortiManager and FortiManager Cloud
October 23, 2024Frequently asked questions about a zero-day vulnerability in Fortinet’s FortiManager that has reportedly been exploited in the wild.
From Bugs to Breaches: 25 Significant CVEs As MITRE CVE Turns 25
October 22, 2024Twenty five years after the launch of CVE, the Tenable Security Response Team has handpicked 25 vulnerabilities that stand out for their significance.
Oracle October 2024 Critical Patch Update Addresses 198 CVEs
October 15, 2024Oracle addresses 198 CVEs in its fourth quarterly update of 2024 with 334 patches, including 35 critical updates.
Securing Financial Data in the Cloud: How Tenable Can Help
November 4, 2024Preventing data loss, complying with regulations, automating workflows and managing access are four key challenges facing financial institutions. Learn how Tenable can help.
Cybersecurity Snapshot: Apply Zero Trust to Critical Infrastructure’s OT/ICS, CSA Advises, as Five Eyes Spotlight Tech Startups’ Security
November 1, 2024Should critical infrastructure orgs boost OT/ICS systems’ security with zero trust? Absolutely, the CSA says. Meanwhile, the Five Eyes countries offer cyber advice to tech startups. Plus, a survey finds “shadow AI” weakening data governance. And get the latest on MFA methods, CISO trends and Uncle Sam’s AI strategy.
FY 2024 State and Local Cybersecurity Grant Program Adds CISA KEV as a Performance Measure
October 31, 2024The CISA Known Exploited Vulnerabilities (KEV) catalog and enhanced logging guidelines are among the new measurement tools added for the 2024 State and Local Cybersecurity Grant Program.
- Vulnerability Management