昨日、Jetpack 16.1.3の新しいバージョンをリリースしました。このリリースには重大なセキュリティアップデートが含まれています。この脆弱性が悪用された証拠はありませんが、サイトの安全を保つため、できるだけ早くJetpackを更新してください。
このプロセスを進めていただけるよう、WordPress.orgのプラグインチームと緊密に連携し、12.0以降のすべてのJetpackバージョン向けに修正版をリリースしました。ほとんどのウェブサイトは、安全なバージョンに自動更新済み、またはまもなく自動更新されます。
この対応は、社内のセキュリティ監査と、WordPressのセキュリティチームに寄せられた報告を受けて行われました。
最も深刻な問題はインポート機能にあります。この機能は、2023年にリリースされたバージョン12.0以降、Jetpackに搭載されています。Jetpackがインポートされた投稿に付随するメタデータを復元する際、そのデータを制限なくデシリアライズしていました。この脆弱性により、サイトでコンテンツのインポートを許可されたユーザーが、提供したデータからサイトにPHPオブジェクトを構築させることが可能でした。サイト上で実行されている他のコードによっては、さらなる攻撃につながるおそれがあります。
同じリリースで、ほかにも2件の問題を修正しています。メディアAPIは、メディア項目を投稿に添付する前に、その投稿を編集する権限があることを確認するようになりました。また、リーダーの再投稿フローでは、エディターに渡す前にURLから取得したデータをサニタイズするようになりました。
昨日リリースしたJetpackの42種類のバージョンを、以下にすべて記載します。
16.1.3、16.0.2、15.9.2、15.8.1、15.7.2、15.6.1、15.5.1、15.4.1、15.3.2、15.2.1、15.1.2、15.0.3、14.9.2、14.8.1、14.7.1、14.6.1、14.5.1、14.4.2、14.3.1、14.2.2、14.1.1、14.0.1、13.9.2、13.8.3、13.7.2、13.6.2、13.5.2、13.4.5、13.3.3、13.2.4、13.1.5、13.0.2、12.9.5、12.8.3、12.7.3、12.6.4、12.5.2、12.4.2、12.3.2、12.2.3、12.1.3、12.0.3。
サイトでこれらのいずれかのバージョンが実行されている場合、この問題に対する脆弱性はすでに解消されています。安全なバージョンに自動更新されています。
この脆弱性が実際の環境で悪用された証拠はありません。しかし、アップデートがリリースされた今、この脆弱性を悪用しようとする人が現れる可能性があります。
ご負担をおかけすることになり、申し訳ございません。お客様のJetpackサイトの安全を確保するため、今後もコードベースのあらゆる側面を定期的に監査してまいります。
Jetpack 