オープンソースのブログ用ソフトウェア兼コンテンツ管理システムであるWordPressは、2024年4月の時点で全ウェブサイトの43.4％で使われています。そんなWordPressの人気プラグインである「LiteSpeed Cache」に脆弱(ぜいじゃく)性があり、数百万ものウェブサイトが乗っ取られる可能性があると報じられました。

Critical Privilege Escalation in LiteSpeed Cache Plugin - Patchstack

https://patchstack.com/articles/critical-privilege-escalation-in-litespeed-cache-plugin-affecting-5-million-sites



Security Update for LiteSpeed Cache ⋆ LiteSpeed Blog

https://blog.litespeedtech.com/2024/08/21/security-update-for-litespeed-cache/

Over 5,000,000 Site Owners Affected by Critical Privilege Escalation Vulnerability Patched in LiteSpeed Cache Plugin

https://www.wordfence.com/blog/2024/08/over-5000000-site-owners-affected-by-critical-privilege-escalation-vulnerability-patched-in-litespeed-cache-plugin/

Litespeed Cache bug exposes millions of WordPress sites to takeover attacks

https://www.bleepingcomputer.com/news/security/litespeed-cache-bug-exposes-millions-of-wordpress-sites-to-takeover-attacks/

LiteSpeed CacheはWordPressで作ったウェブサイトを高速化できるプラグインであり、専用サーバーレベルのキャッシュと最適化機能を備えています。記事作成時点では500万件以上のアクティブなインストールがあり、WordPressで最も人気のあるプラグインのひとつです。

そんなLiteSpeed Cacheに存在する重大な脆弱性が、WordPressの脆弱性開示機関であるPatchstackのバグ報奨金プログラムに報告されました。脆弱性を発見したのはセキュリティ研究者のジョン・ブラックボーン氏で、WordPressのバグ報奨金では史上最高額となる1万4400ドル(約210万円)もの報奨金が支払われました。

LiteSpeed Cacheにはウェブサイトのキャッシュを取得するため、スケジュールに従ってページをクロールする仕組みがあります。クローラーには特定のログインIDを持つユーザーをシミュレートする機能があり、これを保護するためにセキュリティハッシュが用いられています。しかし、生成されるセキュリティハッシュの値が100万通りしかないため、ブルートフォース攻撃を仕掛けることでセキュリティハッシュを特定し、任意のユーザーIDで新しい管理者アカウントを作成できるとのこと。

Patchstackは、たとえ1秒あたり3リクエストという比較的低速なブルートフォース攻撃でも、数時間〜1週間でセキュリティハッシュを割り出せると指摘しています。今回発見された脆弱性には「CVE-2024-28000」という識別番号が割り振られました。

脆弱性を悪用すると、認証されていない攻撃者が管理者レベルのアクセス権を取得し、ウェブサイトを完全に乗っ取ることができます。攻撃者は悪意のあるプラグインのアップロードおよびインストール、重要な設定の変更、悪意のあるウェブサイトへのリダイレクト、訪問者に対するマルウェア配布、ユーザーデータの窃取といったことが可能だそうです。



すでにLiteSpeed Cacheの開発チームはこの脆弱性を認識し、2024年8月13日にリリースしたバージョン「6.4」で問題は修正されています。しかし、WordPressの公式プラグインリポジトリのダウンロード統計によると、依然として過半数のユーザーはバージョン「6.3」以前を利用しており、数百万個ものウェブサイトが危険にさらされているとのことです。