概要
WordPress向けの人気ページビルダープラグイン「Elementor」に、クロスサイトリクエストフォージェリ(CSRF)の脆弱性が見つかった。全世界で1000万サイト以上が稼働させているElementorのうち、脆弱なバージョン4.3.0および4.3.1を使う約200万サイトが影響を受けるとみられる。攻撃者はログイン中の管理者に悪意あるリンクを開かせるだけで、REST APIのアクションを不正に実行させ、新たな管理者アカウントを作成できてしまう。開発元は報告からわずか2日後にあたる9月24日、修正版のv4.3.2をリリースした。
攻撃の仕組みとリスク
この脆弱性の危険性は、攻撃の手口が極めて単純である点にある。通常のCSRF攻撃では悪意あるフォームの自動送信やJavaScriptの実行が絡むことが多いが、今回のケースではそうした仕掛けすら不要で、メールやチャットツールで送られたリンクを管理者が一度クリックするだけで攻撃が成立する。ログイン済みのセッションを悪用してREST APIへのリクエストを横取りする形で管理者権限のアカウントが作成されるため、被害者は自分のサイトが乗っ取られたことに気づきにくい。管理者アカウントを奪われれば、任意のコード実行やサイト全体の改ざん、マルウェア配布など、さらなる被害に発展するリスクがある。
発見からパッチ適用までの経緯
この脆弱性はセキュリティ企業Patchstackと、バグハンターの「Saggre」によって9月22日に報告された。Elementor開発元の対応は迅速で、報告から2日後の9月24日には修正版v4.3.2を公開し、クエリ文字列を経由したセキュリティチェックのバイパスを防止する形で問題を修正している。CVE番号やCVSSスコアは今回の報道時点では明らかにされていないが、影響範囲の広さと攻撃の容易さを踏まえると深刻度は高いと考えられる。
今後の対応
Elementorを利用しているサイト運営者は、現在のバージョンを確認し、v4.3.0またはv4.3.1を使用している場合は速やかにv4.3.2以上へアップデートすることが強く推奨される。WordPressプラグインの自動更新を有効にしていないサイトは特にリスクが高いため、この機会に更新設定を見直すことも有効な対策となる。今回のようにCSRFを起点とした管理者権限の奪取は他の人気プラグインでも起こり得るため、プラグインの選定や運用においてセキュリティアップデートの適用速度を重視する姿勢が改めて求められている。