セキュリティ

SECURITY

公開：2025-01-21

【CVE-2024-12614】Passwords Manager 1.4.8に認証バイパスの脆弱性、データ改変のリスクが発生

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• Passwords Manager 1.4.8以前にデータ改変の脆弱性
• 認証済みユーザーによる設定変更とパスワード追加が可能
• 未承認のデータ変更リスクによりセキュリティ対策が必要

Passwords Manager 1.4.8の認証バイパス脆弱性

WordPress用プラグインPasswords Managerにおいて、バージョン1.4.8以前に認証バイパスの脆弱性が発見され、2025年1月16日に報告された。この脆弱性は権限チェックの欠如により、認証済みの一般ユーザー（Subscriber以上）がプラグインの設定を変更し暗号化キーの更新やパスワードの追加が可能になる問題が存在している。^[1]

この脆弱性はpms_save_settingとpost_new_passというAJAXアクションにおける権限チェックの不備に起因しており、CVSSスコアは7.5（High）と評価された。攻撃元区分はネットワークであり、攻撃の複雑さは低く、特権は不要とされているため、早急な対応が必要とされている。

本脆弱性の報告者はLucio Sáであり、WordPressプラグインのセキュリティ研究者によって発見された。この問題はSQL Injectionの一種としてCWE-89に分類されており、データベースへの不正なアクセスや改ざんのリスクが指摘されている。

Passwords Manager 1.4.8の脆弱性詳細

認証バイパスについて

認証バイパスとは、本来必要な認証プロセスを回避して、不正にシステムやアプリケーションにアクセスする手法のことを指す。主な特徴として、以下のような点が挙げられる。

• 権限チェックの不備や実装ミスを悪用した攻撃手法
• 正規ユーザーの権限を超えた操作が可能になる
• データの改ざんや情報漏洩のリスクが高まる

Passwords Managerで発見された認証バイパスの脆弱性は、AJAXアクションにおける権限チェックの欠如が原因となっている。プラグインの設定を変更できる権限を持たない一般ユーザーが、本来アクセスできないはずの機能を利用できてしまう状態であることが確認されている。

Passwords Manager 1.4.8の脆弱性に関する考察

Passwords Managerの認証バイパス脆弱性は、プラグインの基本的なセキュリティ設計における重大な欠陥を示している。権限管理は情報セキュリティの基本であり、特にパスワード管理という重要な機能を持つプラグインにおいて、このような脆弱性が発見されたことは深刻な問題だ。

この脆弱性は、WordPressプラグインの開発においてセキュリティテストの重要性を再認識させる機会となるだろう。プラグイン開発者はコードレビューやペネトレーションテストを定期的に実施し、特に認証や権限管理に関する部分は慎重に確認する必要がある。

今後は、WordPressプラグインのセキュリティガイドラインの整備や、開発者向けのセキュリティトレーニングの強化が求められる。また、プラグインのセキュリティ審査プロセスを厳格化し、脆弱性を事前に発見できる体制を構築することが重要だ。

参考サイト

1. ^ CVE. 「CVE-2024-12614 | CVE」. https://www.cve.org/CVERecord?id=CVE-2024-12614, (参照 25-01-21).

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧