プラットフォーム
wordpress
コンポーネント
stockholm-core
修正版
2.4.2
CVE-2024-34554は、Stockholm Coreにおいて、パス・トラバーサル脆弱性が確認されています。この脆弱性は、攻撃者が制限されたディレクトリ外のファイルを読み込むことを可能にし、機密情報の漏洩や悪意のあるコードの実行につながる可能性があります。影響を受けるバージョンは、Stockholm Coreのn/aから2.4.1までのバージョンです。2.4.2へのアップデートで修正されています。
この脆弱性は、攻撃者がStockholm Coreのインストールディレクトリ外の任意のファイルを読み取ることができるため、深刻な影響をもたらす可能性があります。例えば、Webサーバーの構成ファイルやデータベースの接続情報などの機密情報が漏洩する可能性があります。さらに、攻撃者はこの脆弱性を悪用して、Webサーバー上で任意のPHPコードを実行し、システムを完全に制御する可能性があります。この脆弱性の悪用は、Webサイトの改ざん、データの窃取、さらにはサーバー全体の乗っ取りにつながる可能性があります。
この脆弱性は、2024年6月4日に公開されました。現時点では、公的なPoC（Proof of Concept）は確認されていませんが、パス・トラバーサル脆弱性は一般的に悪用が容易であるため、早期の悪用が懸念されます。CISA KEVリストへの登録状況は確認されていません。NVD（National Vulnerability Database）も公開されています。
WordPress websites utilizing the Stockholm Core plugin, particularly those running versions prior to 2.4.2, are at risk. Shared hosting environments where multiple websites share the same server resources are especially vulnerable, as a successful exploit on one site could potentially impact others. Websites with misconfigured file permissions are also at increased risk.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/stockholm-core/*• generic web:
curl -I 'https://your-wordpress-site.com/wp-content/plugins/stockholm-core/../../../../etc/passwd' # Check for file disclosuredisclosure
エクスプロイト状況
EPSS
0.65% (71% パーセンタイル)
CISA SSVC
CVSS ベクトル
Stockholm Coreのバージョンを2.4.2以降にアップデートすることが、この脆弱性に対する最も効果的な対策です。アップデートが困難な場合は、Webサーバーの設定でStockholm Coreのディレクトリへのアクセスを制限する、またはWAF（Web Application Firewall）を使用して、パス・トラバーサル攻撃をブロックすることを検討してください。また、ファイルアクセス権限を適切に設定し、不要なファイルの読み取りを制限することも有効です。アップデート後、Stockholm Coreのファイルアクセス権限を確認し、不正なアクセスがないことを確認してください。
Actualice el plugin Stockholm Core a la última versión disponible. La vulnerabilidad de inclusión de archivos locales (LFI) se corrige en versiones posteriores a la 2.4.1. Consulte el registro de cambios del plugin para obtener más detalles sobre la actualización.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2024-34554は、Stockholm Coreのバージョン2.4.1以下において、攻撃者が制限されたディレクトリ外のファイルを読み込めるパス・トラバーサル脆弱性です。
はい、Stockholm Coreのバージョンが2.4.1以下の場合、この脆弱性の影響を受けます。バージョン2.4.2へのアップデートが必要です。
Stockholm Coreをバージョン2.4.2以降にアップデートしてください。アップデートが困難な場合は、Webサーバーの設定でアクセス制限やWAFの導入を検討してください。
現時点では公的なPoCは確認されていませんが、パス・トラバーサル脆弱性は悪用が容易であるため、早期の悪用が懸念されます。
Stockholm Coreの公式アドバイザリは、通常、Stockholm CoreのウェブサイトまたはGitHubリポジトリで確認できます。
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。