「ロリポップ」のWordPressサイト改ざん被害、原因はパーミッション設定不備

paperboy＆co.のレンタルサーバサービス「ロリポップ！レンタルサーバー」への攻撃でWordPressを利用している一部ユーザーのサイトが改ざんされた問題で、同社は8月30日、原因について同社によるパーミッションの設定に不備があったことを明らかにした。被害を受けたユーザー数は当初の4802件から8428件に修正している。 29日夜の時点では、攻撃者の改ざん手法について「WordPressのプラグインやテーマの脆弱性を利用」し、不正なファイルがアップロードされて「wp-config.phpの」の設定情報が抜き出されたと説明していたが、30日午後7時過ぎの説明で、この脆弱性が侵入経路となって同社のパーミッション設定の不備を悪用されたことが原因だったことを明らかにした。同社は「被害拡大の防止を最優先としており、本件の発表が今となりましたこと深くお詫び申し上げます」と謝罪している。 攻撃者は

[yachimon]

風説の流布してるのどっちやねん、と思うなどした。

[asyst]

脆弱性をつかれたプラグインとテーマってのは情報開示出来ないんですかね?

[clclcl]

原因を発表したのが金曜の夜、株式市場が閉じた後、とな。

[tamtam3]

金額が安いから仕方がないのだろうけど、鯖レンタル事業でこれやるのが一番怖い・・信用を一気に失うからねぇ・・・元から糞・・いや風説の流布で文句つけられそうだから辞めとこう

[akulog]

手動で入れる程度のスキルもない奴は使うなよ

[muchonov]

運営サイトの対策項目に「サーバーの設定を変更しFollowSymLinksを無効にしました」ってあるけどナニコレ。シンボリックリンクからトラバーサルされてたってこと？

[oyasai55]

なんだかなー！自分は契約してないけど一連のGMOのTwitterのやりとりもなんかやだなーと。で、オチがパーミッション不備かよ。。そこらへんて社内でチェックリストとかなかったのかなー

[silverscythe]

風説の流布！

[baboocon19820419]

この件を機にセキュリティ強化されればいいかなとは思うけど、それにしてもGMO熊谷会長のツイートがな・・・。

[THE_BELKAN_WAR]

これ業者に賠償責任発生するの？

[kuronama2404]

この記事には書いてないけど攻撃者が明らかにロリポップを狙ったようなメッセージを残してったってのが興味深い。

[adsty]

設定不備のため被害を受けたユーザ数は8000件以上。

[nilab]

「ロリポップ」のWordPressサイト改ざん被害、原因はパーミッション設定不備 - ITmedia ニュース

[tsupo]

被害を受けたユーザー数は当初の4802件から8428件に修正 / 原因について同社によるパーミッションの設定に不備があったことを明らかにした ← 結局、WordPressの問題じゃなくてパーミッションの問題?

[iR3]

事故は起きる http://www.youtube.com/watch?v=8HV23ThBo04&desktop_uri=%2Fwatch%3Fv%3D8HV23ThBo04&nomobile=1

[mi1kman]

斜め上だった

[hanazukin]

初期の指摘ユーザへの対応とかみると、インシデント発生時の対応とか難しいなと思う。

[warriorking]

「ロリポップ」のWordPressサイト改ざん被害、原因はパーミッション設定不備 - ITmedia ニュース

[kouyan_h]

さて、当初Twitter経由で連絡をわざわざしてくれたユーザーに対してとんでもない攻撃をした社長はどう動くのやら…

[lli]

せっかくhttpdのオーナーを各ユーザにしてたのにこれじゃ台無しだね。

[kisiritooru]

痛説の流布だったんだな。

[ozamoto]

解決方法を見つけました。　ご参考にどうぞ。　http://kazefuku.net/archives/2034

[htktyo]

パーミッションは、ありえんミスだなー。ほんとか？

[wasai]

結局、設定ミスじゃん

[kimutansk]

WordPress側の脆弱性のみではなく、そもそもの運用側の誤りによって発生した問題だった、と。ふむむ。WordPress側のは脆弱性というよりそもそもの仕様な気もしますが・・・

[monbran4989]

ん、なんか原因違うんじゃないの？ｗ

[gulugulu]

こういうのも脆弱性って言うの?もっとレベルが低そう。

[kumaroku]

そうなの？それだけ？

[mczh]

結局そういうオチでしたか

[syuu1228]

「ロリポップ」のWordPressサイト改ざん被害、原因はパーミッション設定不備 - ITmedia ニュース

[megazalrock]

今後もロリポップを使うことは無いだろうな

[siteworkers]

なるほど

[Jun-Sugihara]

やっちゃったね…【READ→】「ロリポップ」のWordPressサイト改ざん被害、原因はパーミッション設定不備 - ITmedia ニュース

[jt_noSke]

ふーむ