致命的なゼロデイがプレミアムWordPress不動産プラグインに影響

WordPress用テーマ「RealHome」とプラグイン「Easy Real Estate」には、認証されていないユーザーが管理者権限を取得できる2つの重大な欠陥があります。

この2つの欠陥はPatchstackによって2024年9月に発見され、ベンダー（InspiryThemes）に複数回接触を試みたが、研究者によると回答は得られていないという。

また、Patchstackによると、このベンダーは9月以降に3つのバージョンをリリースしたが、重大な問題に対処するためのセキュリティ修正は導入されていなかったという。従って、問題は未修正のままであり、悪用可能である。

Table of contents

脆弱性の詳細

RealHomeテーマとEasy Real Estateは、不動産サイトで使用するために設計された最も人気のあるテーマとプラグインの1つです。Envanto Marketのデータによると、RealHomeテーマは32,600のウェブサイトで使用されている。

RealHome テーマに影響を及ぼす最初の欠陥は、CVE-2024-32444（CVSS スコア：9.8）として追跡されている認証されていない権限昇格の問題です。

このテーマでは、inspiry_ajax_register 関数を使用してユーザが新規アカウントを登録することができますが、認証の確認や nonce 検証が適切に行われていません。

ウェブサイト上で登録が有効になっている場合、攻撃者は登録関数への特別に細工された HTTP リクエストで、自分の役割を「管理者」として任意に指定することができ、実質的にセキュリティチェックをバイパスすることができます。

いったん管理者として登録されると、攻撃者はその後、コンテンツの操作、スクリプトの設置、ユーザーやその他の機密データへのアクセスなど、WordPressサイトを完全に制御できるようになります。

Easy Real Estate プラグインに影響する欠陥は、ソーシャルログインを介した認証されていない権限の昇格の問題です。CVE-2024-32555（CVSSスコア：9.8）で追跡されています。

この問題は、ソーシャル・ログイン機能に起因しており、ユーザが自分の電子メールアドレスを使用してログインする際に、その電子メールアドレスがリクエストを行った人のものかどうかを確認することなくログインできてしまいます。

その結果、攻撃者が管理者のメールアドレスを知っていれば、パスワードなしでログインできる。悪用に成功した場合の影響は、CVE-2024-3244 と同様です。

InspiryThemes社からはまだパッチがリリースされていないため、当該テーマやプラグインを使用しているウェブサイトの所有者や管理者は、ただちにこれらを無効にしてください。

また、影響を受けるウェブサイトのユーザー登録を制限することで、不正なアカウントの作成を防ぎ、悪用の可能性を抑えることができる。

この2つのアドオンの問題は現在公開されているため、脅威の主体はその可能性を探り、脆弱なウェブサイトをスキャンするに違いない。