WordPressプラグイン「The Events Calendar」に任意コード実行の脆弱性

被害発生の条件

以下の条件が重なった場合に、被害が発生する可能性があります。

• The Events Calendar の設定で、イベントページのコメント機能が有効になっている（設定の「表示」にある「Show comments（コメントを表示）」。この設定は初期状態では無効です）
• 投稿したコメントがイベントページ上に表示される（承認待ちの状態でも、投稿した本人には表示される場合があります）

攻撃はコメントの投稿とページの閲覧のみで行われ、サイト運営者やログイン利用者の操作は必要ありません。

イベントページ全体がブロックとして解析されていた

イベント個別ページを組み立てる処理では、テンプレートの出力をいったんまとめたうえで、ページ全体に対してブロックの解析を実行していました。このまとめた出力にはコメント欄も含まれるため、コメント本文に書かれたブロックの記述も解析の対象になっていました。

改変を検知するための値が付け直されていた

貼り付けられたウィジェットの設定には、内容が改変されていないことを確認するための値が添えられ、一致しないものは受け付けない仕組みになっています。しかしプラグインは、受け取った設定に対してこの値を計算し直して付け替えていたため、改変の検知が働かない状態でした。

検査した内容と、実際に使われる内容が別物だった

プラグインは、受け取った設定を安全な読み込み方で復元し、問題のある要素が含まれていないかを検査していました。ところが、検査を通過したあとに保存・使用されるのは、送られてきたデータそのものでした。検査のときの読み込み方と、実際に使われるときの読み込み方が異なるため、検査だけをすり抜ける内容を用意できる状態でした。

表示用のクラス名（HTMLの見た目を指定する名前）の指定から処理が呼び出されていた

検査では「設定の中に特殊な形式の要素が含まれていないか」を見ていたため、ごく普通の配列はそのまま通過します。一方、表示用のクラス名を組み立てる共通処理には、渡された値が「実行する処理を指し示す形式」になっていた場合、それをそのまま実行する作りが残っていました。この2点が組み合わさることで、設定に含めた値からサイト内の処理が呼び出される状態でした。

攻撃の流れ（概略）

• 攻撃者が、イベントページのコメント欄に細工した内容を投稿する
• その内容には、ウィジェット部品を指し示す記述と、細工した設定が含まれる
• イベントページの表示処理が、コメント欄を含むページ全体を解析する
• プラグインが設定に改変検知用の値を付け直し、検査をすり抜けた設定がウィジェットの処理へ渡る
• 設定に仕込まれた指定に沿って、サーバー上で処理が実行される

対策版での修正

バージョン 6.17.4.1 までに、次の内容が反映されています。

• イベント個別ページ全体に対するブロックの解析を取りやめ、通常の本文処理に委ねるよう変更
• 検査を通過した内容をあらためて組み立て直し、その内容に対して改変検知用の値を付けるよう変更
• 表示用のクラス名を組み立てる処理で、実行する対象を限定
• 設定の入れ子の深さに上限を設定