20170218_第5回WordBench山口_LT

2017/02/18 第5回WordBench山口
LightningTalkでお話、デモをした内容
WordPress4.7、4.7.1はちゃんとアップデートしましょう。

Transcript

1. WordPress 4.7, 4.7.1 投稿改ざんできちゃう 件 第５回WordBench⼭⼝ LightningTalk 2017-02-18 ふるさとたけし takeshi.furusato@gmail.com
2. ⾃⼰紹介 •名前︓古⾥ 武⼠(ふるさと たけし） •株式会社イー・ネットワークス 所属 •総務・⼈事、 •Webプログラマ •インフラエンジニア •WordBench倉敷 モデレーター •JAWS-UG岡⼭ 副⽀部⻑
3. 「イーネットワークス」で検索︕
4. 「セキュアフォーム」で検索︕
6. 2017/02/04(⼟) 第１回WordBench倉敷 開催しました︕︕
10. ご参加ありがとう ございました 【急募】 くらしきワプーを デザインしてくれる⽅、募集中。
11. 次回予定 2017年夏頃開催予定︕︕ できたらいいな。。。 第2回 WordBench倉敷 第7回 JAWS-UG岡⼭
12. さて
13. 2017年01⽉26⽇ WordPress 4.7.2 リリースされました。
14. 皆様、ちゃんと 更新しましたか︖
15. 2017年02⽉01⽇ wordpress.orgにて
16. https://make.wordpress.org/core/2017/02/01/disclosure-of-additional- security-fix-in-wordpress-4-7-2/
17. WordPress 4.7および4.7.1には、 情報公開を遅らせた もう⼀つの脆弱性がありました。 REST APIのエンドポイントにおいて、 未認証状態にあって権限が昇格してし まうという脆弱性でした。 以前のバージョンの WordPressやREST APIには、 この脆弱性は存在していませんでした。
18. 2017年02⽉06⽇ IPA(情報処理推進機構)にて
19. https://www.ipa.go.jp/security/ciadr/vul/20170206-wordpress.html
20. 本脆弱性が悪⽤された場合、遠隔の第三者 によって、サーバ上でコンテンツを改ざん される可能性があります。 本脆弱性を悪⽤する攻撃コードが確認され ていますので、対策済みのバージョンへの アップデートを⼤⾄急実施してください。 開発者は本脆弱性を 1 ⽉ 26 ⽇に更新され た「4.7.2」で修正しましたが、利⽤者の安 全を確保するため、脆弱性の内容について は 2 ⽉ 1 ⽇まで公開を遅らせていたとの ことです。
21. 2/7 更新 Sucuri 社によると、本脆弱性を悪⽤して多 数のウェブサイトが改ざんされたとの情報 がありますので、対策済みのバージョンへ のアップデートを⼤⾄急実施してください。
22. 2017年02⽉06⽇ 徳丸さんのブログにて
23. http://blog.tokumaru.org/2017/02/wordpress-4.7.1-Privilege-Escalation.html?m=1
24. WordPress本体に久しぶりに重⼤な脆弱性 が⾒つかったと発表されました。 こんな⾵に書くと、WordPressの脆弱性な んてしょっちゅう⾒つかっているという意 ⾒もありそうですが、能動的かつ認証なし に、侵⼊できる脆弱性はここ数年出ていな いように思います。そういうクラスのもの が久しぶりに⾒つかったということですね。
25. 認証なしにリクエスト⼀発でコンテンツを 改ざんできるため、影響は極めて深刻です。 対象バージョンをお使いの⽅は、即刻アッ プデートすることをお勧めします。
26. デモします。
27. こわっ︕︕
28. ちゃんとアップデート しましょう︕︕
29. ご清聴 ありがとう ございました。