Yuriko.Net 個別記事
SOMY 製プラグインはインストール禁止
かつて、WordPress 向けに有用なプラグインを提供されていた SOMY さんですが、SOMY さんが制作したプラグインすべてに、セキュリティー欠陥があることが分かりました。それは「プラグインの PHP ファイルに script 要素が埋め込まれていて、WordPress 2.0.x 以前 (2.0 を含む) で、管理画面のプラグイン一覧でリストされたときに実行されてしまう。」というものです 。プラグインをインストールするだけで発生し、停止していても script が実行されます。
画面のバージョン数字の部分に script 要素があって、XHTML ソースは次の通りです。
<td class='vers'>1.0<script src="http://wp.somy.jp/up_check/?f=logined-publish&v=1.0"></script></td>
この script 要素は、おそらくバージョン確認が目的だと思われます。今のところ、サーバー側 API が停止しており、何の反応もありませんが、将来 wp.somy.jp がクラックされたり、SOMY.JP ドメインが失効して他人に渡ったりして、悪意あるコードが設置された場合は非常に危険です。なお、WordPress 2.1 以降では、script 要素が削除されてから管理画面に表示されるので安全です。
対象プラグインは以下の通りです。
[このセクション追加] WordPress 2.0 以前で当該プラグインを使用している場合は、WordPress の管理画面を *開かずに*、FTP/SFTP ツール等で、サーバーのプラグインディレクトリー (wp-content/plugins/) から当該プラグインを削除してください。管理パネルでプラグインを無効にする必要はありません (というか、管理パネルに入ると危険です)。
以下のツールは、厳密にはプラグインではなく、WordPress のプラグイン一覧にリストアップされないので、この問題はありません。しかし、別のセキュリティー欠陥が存在する可能性は否めません。
ドキュメントに「プラグインには、バージョンチェック用の JavaScript が入っています」という記述があればマシなのですが、そういう記述が一切ないため「バックドア」と認定していいでしょう。SOMY さんは去年あたりから活動を停止されており (2007年9月9日のコメントが最新)、プラグインの更新もされていません。リリースされたプラグインはすべて古くなっており、WordPress 2.3 以降に対応していないものも多くなっています。このため、すでに「SOMY 製プラグインは (古いため) 使うべきではない」という状態だったのですが、こんなバックドアが埋め込まれているとすれば、「インストール禁止」と言うべきでしょう。WordPress 2.1 以降では問題ないとはいえ、バックドアを作ってしまうような作者のコードは、他の部分も信用しない方が無難です。
SOMY さんが現在活動中であれば、直接連絡するなり IPA に通告するなりして改善をお願いするのですが、そうではないため、この場をもって多くの人に警告するしかありません。その点が非常に残念です。
逆に言うと、この問題は、WordPress 2.0 自体の欠陥とも言えます。2.0 ブランチは一応現役なだけに 2.1 以降での修正をバックポートしてもらいたいのですが……。→ ME 2.0 については自分で直してしまえばいいのだった 
「プラグイン10選」で SOMY プラグインを挙げられている人にピンバックしてみましょうか。おそらくみなさん WordPress 2.1 以降なので安全だとは思いますが。(追記: その他にも使っているユーザーを見つけたら追加します)
- [TB] WP2.5に入れるプラグイン10選 (TAO’s Weblog)
- Re:[TB] WP2.5に入れるプラグイン10選 (LOVE!?)
- WP2.5に入れるプラグイン10選 (Taste of Wind)
- 【WordPress】Re: WP-SpamFreeが強力すぎる件（From: MMRT daily life） (Telmina)
- スパム対策しましたぁ (Slashcolon /:)
WordPress備忘録 (四月階段)← 対応ずみであり、本人の意向により削除- 用途で選ぶWordPress用コメント&トラックバックスパム対策プラグイン
[追記 2008-08-20] チケット #7325 を切って報告しましたが、WordPress 2.0 ブランチでの修正は望めそうにありません。「SOMY プラグインというヤバイ例がある」と書いてみたものの、期待薄ですね……。本家が修正しないとしても ME で修正するのは自由なわけですが、あまり本家と差異ができるのは嫌なので避けたいところです。となると、地味に「SOMY プラグインは危険」と告知するしかないのかな。
上に戻るトラックバック・コメント »
コメント投稿
カレンダー
7月 2008 月 火 水 木 金 土 日 « 6月 8月 » 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 - 18日 21日までカフェ玖伊屋参加のための遠征 (行程)
- 19日 カフェ玖伊屋 (京都)
- 25日 26日まで、NICT施設一般公開
- 26日 ドークボット B∀Z∀∀R (横浜、見に行きました)
アーカイブ
- 1997年 (5)
- 1998年 (12)
- 1999年 (6)
- 2000年 (128)
- 2003年 (17)
- 2004年 (99)
- 2005年 (393)
- 2006年 (393)
- 2007年 (311)
- 2008年 (373)
- 2009年 (213)
- 2010年 (124)
- 2011年 (137)
- 2012年 (41)
- 2013年 (32)
- 2014年 (30)
カテゴリー
- WordPressハック (468)
- モバイル・携帯電話 (287)
- 旅行 (208)
- テレビ・メディア (174)
- イベント (147)
- 更新履歴 (138)
- ソフトウェア (126)
- 社会問題 (119)
- 日常生活 (101)
- アップル・Macintosh (94)
- 食べ物・料理 (93)
- ジェンダー・セクシャリティー (86)
- カメラ (83)
- ふりひら (69)
- 鉄道 (67)
- ユニバーサル・スタジオ・ジャパン (62)
- 阪神タイガース (58)
- ネットワーク (56)
- 愛知万博 (33)
- スポーツ (28)
- コンピューター (24)
- 航空 (17)
- オリンピック・パラリンピック (17)
- 読書 (9)
- 音楽 (9)
- Raspberry Pi (8)
- 映画 (6)
主なタグ (まだ整備中)
メタ情報
- RSS フィード
- Atom フィード
- トラックバック・コメントの RSS
- XHTML 準拠 の検査
- XFN
- Powered by WordPress
[...] Yurikoさんの『SOMY 製プラグインはインストール禁止』を見て、まぁ利用しているWordPressのバージョンから考えても一応問題ないわけですが…確かに一種の「バックドア」コードなのでキ [...]
WordPressフォーラムで、物凄く沢山のトピックにお答えしていらっしゃったので、自然と行き着いてしまいました。
それにしても、素晴らしいプラグインの配布や、素晴らしい判断での対処など、尊敬しまくりです！
これからも、頑張って活動してください！
応援しております(´-ω-`)b
[...] SOMY 製プラグインはインストール禁止 ＠ Yuriko.Net [...]
こんにちは
『四月階段』というウェブログを細々と運営しております右京と申します。
先日は、SOMYさんのプラグインについてご指摘いただきまして、
ありがとうございました。
早速、ご指示通り、プラグインを削除いたしました。
ところで、エントリの中で拙ウェブログの記述があるようですが、
お手数とは存じますが、削除願えますでしょうか。
お忙しいことと存じますが、よろしくお願いいたします。
理由がよく分からないのですが、記述が残っていると恥しいから、とかでしょうか?
右京でございます。
理由は、拙ウェブログは多くの方にお目通し願うようなウェブログではなく、
個人的な内容が多く含まれているためです。
以上、ご理解いただきますよう、お願い申し上げます。
サーバーがトラブってて返事が遅くなりました。
理由は分かりましたが、それだと、こちらからのリンクを削除してもあまり意味がないと思います。今回、貴サイトを発見したのは、ブログ検索エンジン (テクノラティーや Google 等) によるものです。つまり、すでに誰でも世界中から簡単にアクセスできる状態となっています。当サイトから貴サイトへの流入がどれだけあるかは不明ですが、おそらくはさほど多くはないと思われます。
とりあえず del タグで囲っておきますが、この対応で了解頂けますようお願いします。
所用により、お礼が遅くなりました。
ご理解賜り、ありがとうございます。
この度はご注意いただき、感謝申し上げます。
Re:SOMY 製プラグインはインストール禁止
MasayanさんのTB企画に乗っかってみたところ、ゆりこさんよりピンバックが。
どうやら、私がWordPressで使っていたWordPress：SOMY.JP » SOMY SpamBlock JP スパム対策プラグインが対象になって…
WordPress: 半角文字のみのスパムを一網打尽にするスパム対策プラグイン
このブログにも，凄い数のコメントスパムやトラックバックスパムが来る．そのほとんどは，WordPressに標準搭載されている”akismet”というスパム対策プラグインが捕捉してくれる．…
[...] 設置後、わずか2日でComment Spamの第1号が来ていたので、P_BLOG、Loggixで有効だった「日本語を含まないコメント・トラックバックを弾く」手段がないかとググった結果、SOMY SpamBlock JapaneseというPluginを導入することにしました。 2005年3月以降バージョンアップされていないようですが、とりあえず正常に動いているようです。 また、バックドアが実装されている指摘もありましたが、同等機能のある代替Pluginが見つからないし、wp2.1以上であればどうやら問題ないようなので、気にしないことにしました。 [...]
[...] ress 2.1 以降では問題ありません。 ここで公開していたプラグインについてバックドアが含まれているという指摘がありましたが、新しいバージョンがリリースされた際にお知らせをして [...]