【CVE-2024-11150】WordPress User Extra Fields 16.6の重大な脆弱性、未認証でのファイル削除が可能に

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

WordPress User Extra Fields 16.6以前にファイル削除の脆弱性
未認証の攻撃者が任意のファイルを削除可能
wp-config.phpの削除によりリモートコード実行の危険性

WordPress User Extra Fields 16.6の脆弱性問題

WordPressのUser Extra Fieldsプラグインにおいて、バージョン16.6以前に重大な脆弱性が2024年11月13日に公開された。delete_tmp_uploaded_file()関数においてファイルパスの検証が不十分であることが原因で、未認証の攻撃者が任意のファイルを削除できる状態にあることが判明している。^[1]

この脆弱性は【CVE-2024-11150】として識別されており、CVSSスコアは9.8と重大度が非常に高く評価されている。攻撃者はwp-config.phpなどの重要ファイルを削除することで、サイトに対してリモートコード実行を引き起こす可能性が指摘されている。

WordFenceのセキュリティ研究者Chloe Chamberlandによって発見されたこの脆弱性は、攻撃の複雑さが低く特権も不要であることから、早急な対応が求められる事態となっている。影響範囲は広範で、攻撃者による不正アクセスや情報漏洩のリスクが高い状態だ。

WordPress User Extra Fields 16.6の脆弱性詳細

項目	詳細
CVE番号	CVE-2024-11150
影響を受けるバージョン	16.6以前の全バージョン
CVSSスコア	9.8（Critical）
脆弱性の種類	CWE-22（パストラバーサル）
攻撃の前提条件	認証不要、低い攻撃複雑性

脆弱性の詳細はこちら

パストラバーサルについて

パストラバーサルとは、Webアプリケーションにおけるセキュリティ上の脆弱性の一つで、攻撃者が意図しないディレクトリにアクセスできる状態を指す。主な特徴として、以下のような点が挙げられる。

ファイルパスの検証が不十分な場合に発生
重要なシステムファイルへのアクセスが可能
情報漏洩やシステム破壊のリスクが高い

WordPress User Extra Fieldsの脆弱性では、delete_tmp_uploaded_file()関数においてファイルパスの検証が不十分であることが原因となっている。未認証の攻撃者がwp-config.phpなどの重要ファイルを削除することで、サイト全体のセキュリティが危険にさらされる可能性が高い状態だ。

WordPress User Extra Fieldsの脆弱性に関する考察

WordPress User Extra Fieldsの脆弱性は、プラグインの開発段階でのセキュリティレビューの重要性を再認識させる事例となっている。特にファイルシステムを操作する機能については、入念な検証とサニタイズが必要不可欠であり、開発者向けのセキュリティガイドラインの整備も急務となっているだろう。

今後はWordPressプラグインのセキュリティ審査をより厳格化する必要性が高まると予想される。特にファイル操作に関する機能を持つプラグインについては、サードパーティによるセキュリティ監査を義務付けるなど、より強固な品質管理体制の構築が求められるだろう。

また、プラグインのセキュリティアップデートの配信システムについても見直しが必要となる可能性がある。重大な脆弱性が発見された場合、ユーザーへの通知を迅速に行い、アップデートの適用を促すための仕組みづくりが今後の課題となるだろう。