「ロリポップ！」改ざん多発の原因、ファイルパーミッションの設定不備

「ロリポップ！レンタルサーバー」の利用者において、改ざんが多発した問題で、同サービスを運営するpaperboy＆co.は、同社によるパーミッション設定の不備が原因だったと発表した。

問題となっている改ざん被害は、同サービスにてWordPressを利用する多数顧客で発生したもので、改ざん件数は、同社が把握しているだけで8438件にのぼる。

大規模な改ざん被害の原因について、第1報を発表した8月28日の時点では、利用者におけるパスワード管理の不備であると発表したが、翌29日には、プラグインやテーマの脆弱性が利用され、情報を抜き出す不正なファイルがアップロードされたと改めた。

さらに30日の発表では、プラグインやテーマの脆弱性を利用されたことが「改ざんの手法」であるとの認識を示した上で、脆弱性に対し攻撃を行う際の侵入経路に、同社によるパーミッション設定の不備が悪用されたことを認めた。脆弱性が存在するとされるプラグインやテーマの具体的な名称は明らかになっていない。

ファイルのパーミッションについて、同社では、29日の午前中より変更作業を進めていたが、原因として公表するタイミングが30日となったことについて、「被害拡大の防止を最優先したため」と釈明している。

また同社では、「ロリポップ！レンタルサーバー」の利用者に対し、「簡単インストール」として管理画面からCMSを自動的にインストールできるサービスを提供しているが、現在は「WordPress」をはじめ、各CMSの「簡単インストールサービス」が利用できない状況となっている。

（Security NEXT - 2013/08/30 ）ツイート