プラットフォーム
wordpress
コンポーネント
bitformpro
修正版
2.6.5
CVE-2024-43248は、Bit AppsのBit Form Proにおいて、パス・トラバーサル（ディレクトリ・トラバーサル）の脆弱性が存在します。この脆弱性を悪用されると、攻撃者は本来アクセスできないファイルを読み書きすることが可能となり、機密情報の漏洩や改ざん、さらにはシステムへの不正アクセスにつながる可能性があります。この脆弱性は、Bit Form Proのバージョン2.6.4以前に影響を与えます。2.6.5へのアップデートで修正されています。
この脆弱性は、攻撃者がBit Form Proを通じてサーバー上の任意のファイルにアクセスすることを可能にします。例えば、設定ファイルやデータベースファイル、その他の機密情報を含むファイルを読み出すことが可能です。さらに、攻撃者は書き込み権限を持つファイルに悪意のあるコードを書き込むことで、Webサイトの改ざんや、サーバーの制御奪取といった深刻な被害をもたらす可能性があります。攻撃者は、ファイル名に「../」のようなパス・トラバーサルシーケンスを挿入することで、本来アクセス制限されているディレクトリに到達し、ファイルを操作できます。この脆弱性は、Log4Shellのようなサプライチェーン攻撃の起点となる可能性も否定できません。
CVE-2024-43248は、2024年8月19日に公開されました。現時点では、公的なPoC（Proof of Concept）は確認されていませんが、パス・トラバーサル脆弱性は比較的悪用が容易であり、今後活発な攻撃が発生する可能性があります。CISAのKEV（Known Exploited Vulnerabilities）カタログへの登録状況は不明です。NVD（National Vulnerability Database）の情報も参照し、最新の攻撃動向を把握することが重要です。
WordPress websites utilizing Bit Form Pro, particularly those with older versions (≤2.6.4) and those that haven't implemented robust file upload security measures, are at significant risk. Shared hosting environments where users have limited control over server configurations are also particularly vulnerable.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/bit-form-pro/*• generic web:
curl -I 'http://your-website.com/wp-content/plugins/bit-form-pro/path/../sensitive_file.txt' # Check for 200 OK responsedisclosure
エクスプロイト状況
EPSS
0.25% (48% パーセンタイル)
CISA SSVC
CVSS ベクトル
Bit Form Proのバージョンを2.6.5以降にアップデートすることが最も効果的な対策です。アップデートが直ちに困難な場合は、Webアプリケーションファイアウォール（WAF）やリバースプロキシを設定し、パス・トラバーサル攻撃を検知・防御するルールを適用することを推奨します。また、Bit Form Proの設定ファイルにおいて、アクセス権限を厳格に制限し、不要なファイルへのアクセスを遮断することも有効です。WordPressのプラグインディレクトリを監視し、Bit Form Proのアップデート情報を常に確認するようにしてください。アップデート後、Bit Form Proのファイルアクセス権限を確認し、不正なアクセスがないか検証してください。
Actualice el plugin Bit Form Pro a la última versión disponible. La vulnerabilidad permite la eliminación arbitraria de archivos, por lo que es crucial actualizar para proteger su sitio web. Verifique que la versión actualizada sea posterior a la 2.6.4.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2024-43248は、Bit AppsのBit Form Proのバージョン2.6.4以前に存在するパス・トラバーサル脆弱性です。攻撃者はこの脆弱性を悪用して、本来アクセスできないファイルを読み書きできる可能性があります。
Bit Form Proのバージョンが2.6.4以前を使用している場合、影響を受けます。速やかにバージョン2.6.5以降にアップデートしてください。
Bit Form Proをバージョン2.6.5以降にアップデートしてください。アップデートが困難な場合は、WAFなどの対策を講じることを推奨します。
現時点では公的なPoCは確認されていませんが、パス・トラバーサル脆弱性は比較的悪用が容易であり、今後活発な攻撃が発生する可能性があります。
Bit Appsの公式ウェブサイトまたはWordPressプラグインディレクトリで、CVE-2024-43248に関するアドバイザリをご確認ください。
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。