WP Cerber Security 9.10

English version: WP Cerber Security 9.10

今回のリリースでは、2要素認証における繰り返し試行に対する耐性を強化し、REST APIのユーザーデータ保護における脆弱性を解消し、WP Cerberの管理画面における信頼できないデータの処理方法を改善しました。また、GDPRに基づく個人データのエクスポートおよび消去時のエラー報告を修正し、アクティビティログデータベースの障害が空の結果と誤認されることがないようにしました。

主なポイント

• 2段階認証の保護が強化されました。WP Cerberは、アカウントごとに2段階認証の繰り返し試行回数とPINコードの誤入力回数を制限するようになりました。これらの制限を超えると、新規ログインが一時的にブロックされ、アカウント所有者に通知されます。
• REST APIの制限がより一貫性のあるものになりました。WordPressユーザーデータへのアクセスをブロックする設定が、WordPressが処理する追加のリクエストバリエーションにも対応するようになりました。
• 管理画面の安全性向上。出力エスケープ処理の改善により、WP Cerberの管理画面に表示される信頼できないデータに関連する保存型XSS脆弱性に対処しました。
• GDPRに関する結果が正確になりました。個人データのエクスポートと消去時に、アクティビティログの読み取りエラーが誤って成功と表示されるのではなく、正しく表示されるようになりました。

セキュリティの変更点

二段階認証は、アカウントのパスワードが漏洩した場合に重要な保護層を追加します。今回のリリースでは、アカウントごとに二段階認証の試行回数とPINの誤入力回数に制限を設けることで、PINの推測を繰り返すことが著しく困難になります。

今回の保護機能のアップデートには、いくつかの変更点が含まれています。

• アカウントレベルの制限。WP Cerberは、新しい2段階認証を要求できる頻度と、PINコードの誤入力が許容される回数を制限します。
• 一時的なアカウントロック。制限を超過した場合、WP Cerber は該当アカウントへの新規ログインを 24 時間ブロックし、アカウント所有者にパスワード漏洩の可能性を通知します。
• 一貫した適用。これらの制限は、標準のWordPressログインフォームだけでなく、サポートされているすべてのサインイン方法に適用されます。
• 既存のセッションは引き続き有効です。アカウントロックによって、既に認証済みのセッションが中断されることはありません。
• より安全なエラー処理。2要素認証中にセキュリティ上重大なエラーが発生した場合、WP Cerberは2要素認証なしでのログインを許可するのではなく、ログインを拒否します。
• アクティビティログの報告。アカウントロックイベントはアクティビティログに記録され、管理者が不審なサインインアクティビティを調査するのに役立ちます。

アカウントのパスワードを変更しても、有効なロックは解除されません。アカウントの安全性を確認済みの管理者は、WP-CLIを使用して以前にアクセスを復元できます。

これは、これらのセキュリティ対策に関する取り組みの第一段階です。二段階認証（2FA）の処理方法については、今後さらに改善していく予定です。

REST APIのユーザーデータ保護機能が向上しました。

「REST API を介したユーザーデータへのアクセスをブロックする」設定は、WordPress ユーザー情報への一般公開を防ぐのに役立ちます。

WP Cerberが特定のREST APIリクエストをチェックする方法と、WordPressがそれらを処理する方法との間に矛盾があることを確認し、修正しました。特定の条件下では、この矛盾により、意図された制限を回避してリクエストが送信される可能性がありました。

WP Cerberは、サポートされているREST APIリクエスト形式全体で、より一貫した保護を適用するようになりました。また、関連するアプリケーションパスワードルートの保護範囲も改善しました。

既存の設定はこれまで通り機能し、有効化すると追加の保護機能が自動的に適用されます。設定変更は不要です。

管理画面における保存型XSSに対する保護機能の強化

WP Cerberは、管理画面のいくつかの箇所で外部ソースからの情報を表示します。このようなデータは、たとえ通常のテキストのように見えても、信頼できないものとして扱う必要があります。

外部から提供される特定の値の処理および表示方法を修正し、影響を受ける管理画面における保存型クロスサイトスクリプティング（XSS）の脆弱性に対処しました。

今回の更新により、適切な出力エスケープ処理が適用され、信頼できない値が実行可能なコンテンツとして解釈されるのではなく、テキストとしてレンダリングされるようになります。この変更は、関連するWP Cerberダッシュボード画面とCerber.Hubインターフェースに適用されます。

更新後も、以前にキャッシュされた値は安全に処理されます。追加の設定変更は不要です。

管理者エクスペリエンス

• アカウントロックイベントのラベルをより分かりやすくしました。アクティビティログイベント「アカウントが一時的にロックされました」の表示を「アカウントが一時的にロックされました」に変更しました。この改訂された表現は、アカウントがまだロックされていることを示唆するのではなく、記録されたイベントを説明するものです。
• ユーザー概要の診断機能が向上しました。WP Cerberは、最終ログイン記録とBuddyPressのアクティベーション詳細の取得失敗をログに記録するようになりました。これにより、ユーザー概要に特定の情報が表示されない理由をより簡単に特定できます。

GDPRのエクスポートと消去で、アクティビティログのエラーが正しく報告されるようになりました。

アクティビティログのデータベースクエリが失敗した場合、WP Cerberは結果をデータベースエラーではなく空のログとして解釈してしまう可能性があります。GDPRに基づく個人データのエクスポートおよび消去の際に、これは誤解を招く結果につながる可能性があります。

アクティビティログのインターフェースを更新し、データベースの障害と正当な空の結果を区別できるようにしました。

• 個人データのエクスポート時に、アクティビティログの読み取りエラーが報告されるようになりました。以前のように、アクティビティが記録されていないと誤って表示したり、エクスポートを途中で終了したりする代わりに、エラーが報告されるようになりました。
• アクティビティログデータベースのエラーにより、WP Cerberが関連レコードが削除されたことを検証できない場合、個人データ消去が正常に完了したと報告されなくなりました。

プライバシーに関するリクエストを処理するサイトオーナーにとって、この区別は重要です。結果が空であることと、データベースクエリが失敗することは同じことではなく、WP Cerberはそれらを適切に報告するようになりました。

互換性テスト済み

このリリースは、PHP 7.4.33、8.0.30、8.1.34、8.2.33、8.3.33、8.4.24、および 8.5.9、ならびに WordPress 5.8.14、6.6.6、6.7.6、6.8.7、6.9.6、および 7.1 でテストされています。

バグ修正

• ユーザーページに「ブロック済み」と「禁止済み」のラベルが復元されました。WordPressのユーザー名列のマークアップ変更により、CSSルールが正しく適用されなくなっていました。ステータスラベルと影響を受けたユーザー名の赤色ハイライト表示が、再び正しく表示されるようになりました。
• 不正な形式のREST APIリクエストによってHTTP 500エラーが発生しなくなりました。WP Cerberは、予期しないREST APIパラメータ形式を、捕捉されないPHPエラーを発生させることなく処理できるようになりました。このようなリクエストは、ユーザーデータを漏洩することなく、通常の処理のためにWordPressに渡されます。