CVE-2024-1208 and CVE-2024-1210

LearnDash における API 経由の機密情報漏えい。認証されていない訪問者は、関連コースに受講登録していなくてもクイズとクイズの問題を閲覧できます。

• 脆弱性: CVE-2024-1208 および CVE-2024-1210 API 経由の機密情報漏えい
• CVSS: 5.3（中）
• ソフトウェア: LearnDash (sfwd-lms)
• 影響を受けるバージョン: <= 4.10.2
• パッチ適用済みバージョン: 4.10.3
• 開発元: LearnDash
• 研究者: Karl Emil Nikka, Nikka Systems
• 公開日: 2024-02-05
• 最終更新日: 2024-02-05

概要

認証されていない訪問者を含む誰もが、LearnDash のすべてのクイズとクイズの問題を閲覧できます。クイズの問題が公開されているため、受講者の知識を確認するために使用することはできません。

背景情報

LearnDash は WordPress 用の Learning Management System（LMS）プラグインです。2 種類のクイズタイプをサポートしています。古いクイズタイプは sfwd-quiz と呼ばれ、リンクされた問題（sfwd-question）に依存しています。新しいクイズタイプは、クイズとその問題を ld-exam 投稿として保存します。

LearnDash には 3 つの REST API（/wp/v2/、/ldlms/v1/、/ldlms/v2/（現在ベータ版））があります。ベータ版 API を含むすべての API がデフォルトで有効になっています。/ldlms/v1/ および /ldlms/v2/ API は、learndash_rest_api_enabled フィルタを使用して特定の投稿タイプに対して無効にできます（class-ld-rest-api.php を参照）。

脆弱性

影響を受けるバージョンの LearnDash（<=4.10.2）は、認証されていない訪問者に対してすべてのクイズとクイズの問題を公開します。訪問者は /wp/v2/ REST API 経由で sfwd-question および ld-exam のエンドポイントを呼び出すことで、すべての問題を閲覧（読み取り）できます。この API はデフォルトで有効です。

https://example.com/wp-json/wp/v2/sfwd-question

https://example.com/wp-json/wp/v2/ld-exam

訪問者は /ldlms/v1/ API 経由で sfwd-quiz エンドポイントを呼び出すことで、すべてのクイズを閲覧（読み取り）することもできます。この API はデフォルトで有効です。

https://example.com/wp-json/ldlms/v1/sfwd-quiz

訪問者は、クイズの投稿 ID（単なる連番の整数）を知っていれば、/ldlms/v2/ API 経由でクイズにアクセスすることもできます。

/ldlms/v1/ および /ldlms/v2/ API は learndash_rest_api_enabled フィルタを使用して無効にできますが、これにより新たなデータ漏えいが発生します。管理者がいずれかの投稿タイプに対して /ldlms/v1/ および /ldlms/v2/ API を無効にすると、LearnDash はレッスンやトピックを含む REST API でアクセス可能なすべての LearnDash コンテンツを /wp/v2/ API 経由で認証されていない訪問者に公開します。

パッチ

LearnDash 4.10.2 は 2024-01-08 にリリースされました。このバージョンではデータ漏えいは修正されませんでしたが、/wp/v2/ API 経由でさらに多くの情報を公開することなく /ldlms/v1/ および /ldlms/v2/ API を無効にすることが可能になりました。

LearnDash 4.10.3 は 2024-01-31 にリリースされ、これらの脆弱性に対処しました。

タイムライン

• 2023-12-25 Project Zero の 90 日間の責任ある開示ポリシーに従い、CVE-2024-1208、CVE-2024-1209、CVE-2024-1210 を LearnDash のサポートに報告しました。3 つの脆弱性すべてを同じレポートに含めました。これらの脆弱性は後に分割され、Wordfence によって 3 つの異なる CVE ID が割り当てられました。
• 2023-12-25 脆弱性を Wordfence の CNA に提出しました。バグ報奨金プログラムへの参加は辞退しました。
• 2023-12-27 LearnDash のサポートから返信があり、レポートを開発者に渡したことが確認されました。
• 2024-01-03 LearnDash が脆弱性を確認しました。
• 2024-01-04 LearnDash から連絡があり、課題（アサインメント）の脆弱性（CVE-2024-1209）の修正を優先するとのことでした。
• 2024-01-08 LearnDash は LearnDash 4.10.2 をリリースし、CVE-2024-1209 に部分的に対処し、learndash_rest_api_enabled フィルタに関連する問題を修正しました。
• 2024-01-31 LearnDash は LearnDash 4.10.3 をリリースし、3 つの脆弱性すべての残りの部分に成功裏に対処しました。
• 2024-02-02 Wordfence が脆弱性を CVE データベースに追加しました。
• 2024-02-05 本レポートを公開しました。

LearnDash は脆弱性レポートに適切に対応し、90 日間の責任ある開示期間内に脆弱性に対処しました。