広く使用されているクラウドベースのウェブ開発プラットフォームのプロバイダーである Wix は、コンピュータワームが世界中のウェブサイトに深刻な被害を与える可能性のある重大なバグを抱えていたようです。
Contrast Securityの研究員マット・オースティン氏によると、この問題はWixで構築されたウェブサイトで発見されたXSS（クロスサイトスクリプティング）の脆弱性に関連しているという。
Wix 社は問題を修正したとしているが、数行の不正なコードが広範囲に及ぶ被害をもたらす可能性があることを示している。
XSS脆弱性は一般的であり、ウェブサイトのコーディング上の欠陥に起因します。ハッカーはこれを悪用し、ユーザーのブラウザを騙して悪意のあるスクリプトを実行させます。例えば、コンピュータウイルスをダウンロードさせたり、ユーザーのマシンに保存されているインターネットCookieを漏洩させたりする可能性があります。オースティン氏は、ウェブサイト構築サービスを展開し、ヨーロッパ、ラテンアメリカ、アジアで8,700万人のユーザーを抱えるWixのウェブサイトでも同様の脆弱性を発見しました。
同氏は水曜日のブログ投稿で、ハッカーがWixを通じて作成されたサイトのURLを乗っ取り、訪問者を別のオンラインソースから悪意のあるファイルを自動的にダウンロードするようにリダイレクトする可能性があると述べた。
さらに、この脆弱性により、ハッカーが自己増殖型の攻撃の一環として、Wix プラットフォーム全体の顧客のウェブサイト アカウントを乗っ取ることができた可能性もあった。
「それがこの脆弱性の興味深いところです」と彼は言った。「ワーム化される可能性があり、急速に拡散する可能性がありました。」
ウィックス Wix のウェブサイトビルダー用のテンプレート。
これが可能になるのは、彼が発見したバグが、顧客が構築したウェブサイトを変更するためにログインする Wix のウェブページ エディター ドメインにも影響を与えたためです。
オースティン氏によると、ハッカーはアクセスを得るために、Wixアカウントを持つ顧客を標的とした悪意のあるウェブサイトを作成した可能性があるという。この場合、攻撃はWixプラットフォームにログインしたままのブラウザからセッションIDを乗っ取るように特別に設計されているだろうと、同氏は述べた。
何も知らないユーザーが悪意のあるサイトにアクセスすると、Wixに密かにログインし直し、新しい管理者ユーザー（ハッカー）を追加するアクションが実行されます。オースティン氏は自身のテストで、まさにこの方法でWixアカウントを乗っ取ることができたことを発見しました。
しかし、危険はそれだけではないと彼は述べた。Wixの顧客を狙うだけでなく、乗っ取ったすべてのWixアカウントを改変し、同じXSS攻撃を仕掛けるようなウェブサイトを想像してみてほしい。
「指数関数的に拡散する可能性があります」と彼は述べた。「Wixサイトを自動的に改変して、さらに拡散させる可能性もあります。」
同じ脆弱性により、ハッカーはマルウェアのホスティングやその他のオンライン詐欺への関与など、他の悪質な目的で Wix の Web サイトを改変することもできた可能性があります。
この悪用の可能性は理論上のものだったものの、オースティン氏は10月10日からWixにこの脆弱性について繰り返し警告を発していたものの、何の返答もなかったと述べた。それ以前には、Facebook、Yahoo、Spotifyでもバグを発見していた。
木曜日、Wix社は返答し、問題は解決したと発表した。
「当社はお客様のセキュリティを非常に重視しています。徹底的な調査の結果、この問題は解決済みであることをお知らせいたします」と同社はメールで回答した。「当社は正式なバグ報奨金プログラムを運用しており、コミュニティの拡大に向けた措置を講じています。」
オースティン氏は、この脆弱性は数行のコードを削除するだけで簡単に修正できるはずだと述べた。
