Duplicatorプラグインは、リモートでコードが実行さ(RCE)の脆弱性のパッチ

0

Duplicatorは WordPress サイトを移転する際に使用される無料の移行ツールです。 このプラグインを使用すると、簡単に WordPressを移転することができ、現在の100万個以上のサイトにインストールされて有効になっているほどの人気があります。

最新バージョンの 複写機で深刻なリモートでコードが実行さ(Remote Code Execution:RCE)の脆弱性が修正されました。

Duplicatorプラグインのセキュリティの脆弱性

この脆弱性で注目すべき点は、プラグインフォルダ自体には影響を受けるコードが存在しません。 Duplicatorを使用して WordPress サイトバックアップを前または復元するときに脆弱性が公開されます。

サイトをバックアップすると、圧縮されたzipファイルと、圧縮ファイルを展開し構成するスクリプトファイル installer.php など2つのファイルが生成され、これらのファイルが必要サイトのコンテンツを復元することができます。

これらのファイルを以前しようとする新しいサーバー内の適切なディレクトリにコピーすることができます。 これにより、管理者は、ブラウザで installer.php ファイルを実行して、サイトのファイルとデータベース(DB)を復元する手順を開始します。

Duplicatorのinstaller.phpインターフェース

復元が完了すると、新しいサイトにログインするように指示します。 ログインすると、サイトが正常に前のことを通知するページが表示されます。

Duplicator前の完了画面
Duplicator移行成功画面。 (図出典:Wordfence)

このページでは、ユーザーに新しいサーバーにコピーしたDuplicator関連ファイルを削除することを想起させます。 事実、以前に使用したファイルを削除しないと、 WordPress 伝言板に迷惑なメッセージが表示されます。

Duplicator通知メッセージ
installerファイルがある場合に表示される迷惑なメッセージ。 (図出典:Wordfence)

インストールスクリプトをWeb上でアクセス可能な場所に残すことは 非常に 危険です。 パッチされていないDuplicatorバックアップの場合installer.phpスクリプトとinstaller-backup.phpようなバックアップは、インジェクションの脆弱性(injection vulnerability)にさらされることがあります。

これに関連し詳細な技術的事項は、 WordPress セキュリティ企業Wordfenceの "Duplicator Update Patches Remote Code Execution Flaw」を参考にしてみてください。

おわりに

以前にDuplicatorを使用してサイトをバックアップしたことがある場合、サーバーにDuplicatorバックアップが残っていないことを確認してください。 Duplicatorプラグインを使用してバックアップした後は、必ず復元に使用したバックアップファイルをすべて削除しても安全です。

そして WordPress サイトを安全に運営するためには、プラグインやテーマ、そして WordPress コアファイルを常に最新のバージョンにアップデートすることが重要です。

参考までにDuplicatorを使用して、サイトを移転することができれば便利ですが、場合によっては、Webホスティングの制限のために、あるいは、以前しようとするデータ/ DBの容量が大きすぎて、以前に失敗することがあります。 そのような場合、手動で移行する必要があります。 手動で、以前に問題がある場合 ここ以前のサービス(有料)を求めることができます。

メモ:

コメントを残す

コメントを入力してください!
名前を入力してください