ニュースソース：Information Security
以下は 2018年02月05日にイスラエルの研究者Barak Tawily氏によって公開された、How to DoS 29% of the World Wide Websites – CVE-2018-6389を要約したものです。
wordpress.comによると、WordPressプラットフォームは世界中のインターネットウェブサイトの29％を占めています。
この記事では、ほぼすべてのWordPressウェブサイトで簡単にサービス拒否（Dos）を引き起こす方法と、この脆弱性が悪用されるのを避けるためにWordPress Webサイトにパッチを当てる方法について説明します。
WordPressでは、”load-scripts.php” が利用されています。このファイルは、load [] というパラメータを受け取り、複数のJS/CSSファイルを取得し、WordPressを高速化します。
load [] するJS/CSSファイル数に制限はありません。
WordPressには、181のスクリプトが含まれます。このすべてをload [] させてみました。ほぼ4MBのデータ取得に2.2秒を要しました。
これらの要求をサーバーに送信していた間はビジー状態で、他の要求を処理することができませんでした。
すなわち、DoSを効果的に、そして簡単に発生させることができたのです。
問題は、”load-scripts.php” は管理者ページ用にのみ設計されていますが、wp-login.phpページでも使用されているため、認証が適用されていないことです。
そのため、第三者によるDos攻撃が可能です。
wordpress.comは、この問題はWordPress埒外で解決されるべき問題としています。
私は以下でこの問題に対処するLinux向けbashスクリプトを公開しています。
Quitten / WordPress