WPScanはこのほど、「Unauthorized Plugin Installation/Activation in Hunk Companion｜WPScan」において、WordPressのプラグイン「Hunk Companion」から緊急の脆弱性を発見したと報じた。

この脆弱性を悪用されると、認証されていないリモートの攻撃者にWordPress.orgリポジトリの任意のプラグインをインストールおよびアクティブ化される可能性がある。

  • Unauthorized Plugin Installation/Activation in Hunk Companion｜WPScan

    Unauthorized Plugin Installation/Activation in Hunk Companion｜WPScan

脆弱性の情報

脆弱性に関する情報は次のページにまとまっている。

脆弱性の情報(CVE)は次のとおり。

  • CVE-2024-11972 - REST APIエンドポイントを正しく認証しない脆弱性(CVSSスコア: 9.8)

脆弱性が存在する製品

脆弱性が存在するとされる製品およびバージョンは次のとおり。

  • Hunk Companion 1.9.0よりも前のバージョン

脆弱性が修正された製品

脆弱性が修正された製品およびバージョンは次のとおり。

  • Hunk Companion 1.9.0

影響と対策

攻撃者はこの脆弱性を悪用することで、非公開となっている脆弱なプラグインを直接インストールすることができる。Hunk Companionは執筆時点において10,000以上のWebサイトに利用されており、8割以上が脆弱なバージョンを利用しているものと推測されている。

  • プラグインのバージョン分布 - 引用：wordpress.org

    プラグインのバージョン分布　引用：wordpress.org

この脆弱性はすでに悪用が確認されている。脆弱なWordPressプラグイン「WP Query Console」と組み合わせることでリモートコード実行(RCE: Remote Code Execution)を実現し、バックドアを設置したと見られている(参考：「WordPress WP Query Console plugin <= 1.0 - Remote Code Execution (RCE) vulnerability - Patchstack」)。

脆弱性の深刻度は緊急(Critical)と評価されており注意が必要。当該プラグインを利用しているWordPressサイトの管理者は、速やかにプラグインをアップデートすることが推奨されている。