WordPressプラグインの脆弱性情報を解説: Page Builder by SiteOrigin <= 2.31.0 [CVE-2024-12240]

WordPressを使用したサイト運営の方に向けて、「Page Builder by SiteOrigin」プラグインに発見された脆弱性の概要とリスクを解説します。

不安な思いをさせないための安全な対応も提供します。

Page Builder by SiteOrigin プラグインとは？

Page Builder by SiteOrigin は、WordPress向けの人気の高いドラッグ＆ドロップ型ページビルダープラグインです。

このプラグインは、ウェブサイトのページデザインを直感的に構築することを可能にし、技術的な知識がないユーザーにも使いやすいツールです。

主な特徴

• ドラッグ＆ドロップ編集:
  • コーディングの知識が不要で、簡単にページをカスタマイズ可能。
• ウィジェットのサポート:
  • テキスト、画像、ボタン、地図などの要素を簡単に追加。
• レスポンシブデザイン対応:
  • 作成したページは、デスクトップ、タブレット、スマートフォンなど、すべてのデバイスで美しく表示されます。
• テーマとの互換性:
  • 現在使用しているテーマと統合可能で、柔軟性が高い。

利用者層

• 初心者: コーディング不要でウェブサイトをデザインしたい方。
• 中級者・上級者: 高度なカスタマイズやクライアント向けのサイト構築に活用。

脆弱性を管理する識別子 – CVEとは？

CVE（Common Vulnerabilities and Exposures）は、ソフトウェアやシステムの脆弱性を識別するための標準的な命名規則です。

それぞれの脆弱性には一意の識別子（CVE-ID）が割り当てられ、セキュリティ研究者やシステム管理者が情報を共有しやすくするために使用されます。

CVEの特徴

• 一意性: 各脆弱性には重複しない一意のIDが付与されます。
• 透明性: 公開された情報は誰でも確認でき、脆弱性の詳細や影響範囲を理解するための信頼できる情報源となります。
• 連携性: セキュリティベンダーや開発者、管理者が共通のCVE-IDを通じて対策を迅速に共有可能。

今回の「CVE-2024-12240」は、「Page Builder by SiteOrigin」プラグインに存在する脆弱性を示しており、修正内容や影響範囲を明確に特定するために利用されています。

CVE-2024-12240 – 脆弱性の概要

• 脆弱性のタイトル: Page Builder by SiteOrigin ≤ 2.31.0 – Authenticated (Contributor+) Stored Cross-Site Scripting via Row Label Parameter
• 影響を受けるプラグイン: Page Builder by SiteOrigin (バージョン 2.31.0 まで)
• 脆弱性の種類: ストアド型クロスサイトスクリプティング (Stored XSS)
• 原因: 「row label」パラメータの入力の不十分なサニタイズと出力エスケープ

この脆弱性の影響

• 認証済みで「投稿者」以上の権限を持つ攻撃者が、ページに任意のスクリプトを添加可能。
• 添加されたスクリプトは、ユーザーがそのページにアクセスすると実行される。

リスク

• 攻撃者はサイトに任意のJavaScriptコードを挿入することができ、以下の危険性があります。
  • ショセッションハイジャック
  • フィッシング攻撃

修正の内容

• 修正のアプローチ:
  • ブロックエディタ(React.jsで実装されたエディタ & 表示ツール) での入力値と表示値がエスケープされていない問題のため JavaScriptでのエスケープ対応
  • row label の入力値にエスケープ処理を追加。処理には _.escape() を追加し、入力データを確実にサニタイズ。
  • 修正には Underscore.js という JavaScript ライブラリが使用され、入力値の安全性が保証されています。
  • 修正済みコードはこちらから確認が可能: WordPress Plugins Trac
• Gutenbergでの安全寸標
  • WordPressブロックエディターのライブラリ「@wordpress/escape-html」は、同様にデータのエスケープを確保するためのツールがあるため、こちらでの対応も可能です。

使用者ができる脆弱性への対応

• プラグインを最新バージョンに更新する
  • すべての脆弱性が修正されている版(2.31.1)を使用することで、攻撃を防げます。
• 投稿者権限を要検討
  • 投稿者権限から下のユーザーにしたり、使用するプラグインを固定することも効果的です。
• セキュリティ実践
  • Webアプリケーションファイアウォール (WAF) を導入して不正リクエストを防ぐ。

まとめ

Page Builder by SiteOrigin の脆弱性は、投稿者(Contributor)以上の権限を持つユーザーが攻撃を実行できる危険性を含んでいました。

プラグインを最新バージョンに更新し、ユーザー権限の要因を見直すことで、サイトの安全性を高めることができます。

参照リンク

• CVE-2024-12240 – CVE Details
• Wordfence Threat Intelligence – Page Builder by SiteOrigin Vulnerability
• 修正コード – WordPress Plugins Trac
• Underscore.js Documentation
• @wordpress/escape-html – Gutenberg Documentation