プラットフォーム
wordpress
コンポーネント
omni-secure-files
修正版
0.1.14
CVE-2012-10064は、WordPressプラグインOmni Secure Filesにおける深刻な任意ファイルアクセス脆弱性です。この脆弱性は、アップロード処理におけるファイルタイプ検証の欠如に起因し、認証されていない攻撃者がサーバーに任意のファイルをアップロードすることを可能にします。影響を受けるバージョンは0.1.13以前であり、プラグインのアップデートにより修正されています。
この脆弱性を悪用されると、攻撃者はサーバーに任意のファイルをアップロードできます。アップロードされたファイルは、PHPスクリプトなどの実行可能な形式である場合、サーバー上で実行され、攻撃者がシステムを完全に制御する可能性があります。この脆弱性は、Webサイトの改ざん、機密情報の窃取、さらにはサーバー全体の乗っ取りといった深刻な被害をもたらす可能性があります。類似の脆弱性は、Webアプリケーションにおけるファイルアップロード機能の不備から発生することが多く、厳重なセキュリティ対策が求められます。
この脆弱性は2012年6月7日に公開されました。現在、KEVリストには掲載されていませんが、CVSSスコアがCRITICALであるため、潜在的なリスクは高いと考えられます。公開されているPoCは確認されていませんが、任意ファイルアクセス脆弱性は悪用が容易であり、将来的に悪用される可能性は否定できません。NVDおよびCISAの情報を定期的に確認し、最新のセキュリティ情報を収集することが重要です。
エクスプロイト状況
EPSS
0.51% (66% パーセンタイル)
CVSS ベクトル
Omni Secure Filesプラグインをバージョン0.1.14以降にアップデートすることが最も効果的な対策です。アップデートが困難な場合は、ファイルアップロード機能へのアクセスを制限するWAF（Web Application Firewall）ルールを実装するか、ファイルアップロード処理におけるファイルタイプ検証を厳格化するサーバー側の設定変更を検討してください。また、アップロードされたファイルが実行可能形式でないことを確認する仕組みを導入することも有効です。アップデート後、プラグインの動作を確認し、セキュリティログを監視して不正なファイルアクセスがないか確認してください。
バージョン0.1.14、またはそれ以降の修正バージョンにアップデートしてください
脆弱性分析と重要アラートをメールでお届けします。
CVE-2012-10064は、WordPressのOmni Secure Filesプラグインにおけるファイルタイプ検証の欠陥に起因する任意ファイルアクセス脆弱性です。攻撃者はこの脆弱性を悪用して、サーバーに任意のファイルをアップロードできます。
Omni Secure Filesプラグインのバージョンが0.1.13以前を使用している場合は、影響を受けます。バージョン0.1.14以降にアップデートすることで、この脆弱性を修正できます。
Omni Secure Filesプラグインをバージョン0.1.14以降にアップデートしてください。アップデートが難しい場合は、WAFルールを実装するか、ファイルアップロード処理の検証を強化してください。
現時点では、CVE-2012-10064を悪用した具体的な事例は確認されていませんが、CVSSスコアがCRITICALであるため、将来的に悪用される可能性は否定できません。
Omni Secure Filesの公式アドバイザリは、プラグインのアップデート情報やセキュリティに関する詳細な情報が記載されている可能性があります。プラグインの公式サイトやWordPressのプラグインディレクトリで確認してください。
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。