- SERVICE
Webサイト・CMSの保守管理・運用
- WORKS
- ABOUT US
- NEWS & COLUMN
- RECRUIT
皆さんこんにちは。taneCREATIVEの「ちほうタイガー」です。
この記事は2024年10月30日に執筆しています。
今回はSmash Balloon Social Photo Feedのバージョンと脆弱性への対応状況についてまとめてみたいと思います。
Smash Balloon Social Photo Feedは、Instagramの写真をWordPressサイトに簡単に表示できるプラグインであり、Smash Balloon社によって開発・サポートされています。
WordPressのPlugin Directoryの統計情報によると、アクティブインストールは100万以上、総ダウンロード数4388万回以上を計測しており、世界でも人気のあるプラグインの一つと言ってよいでしょう。
一方で、人気のあるプラグインであるため、攻撃対象になりやすい側面もあります。
そこで、この記事では、企業のWeb担当の皆様に向けて、Smash Balloon Social Photo Feedの概要並びに、脆弱性及びその対応状況をご紹介することで、Smash Balloon Social Photo Feedを安心して使用していただけるようにしたいと思います。
少しでも皆様のお役に立てる記事にできればと思います。
どうぞよろしくお願い致します。
前述の通り、Smash Balloon Social Photo Feedは、Smash Balloon社によって開発・サポートが継続されている、オープンソースのWordPress向けプラグインです。
このプラグインを使用することで、Instagramの写真をWordPressサイトに簡単に表示できます。
実際のところ、当社のようなWeb制作会社の場合、Smash Balloon Social Photo Feed の無料版を利用することはあまりありません。
セキュリティ保守の観点からは、できるだけプラグインの数を増やしたくないという理由もありますし、プラグインを入れればプラグイン同士の干渉による不具合が発生する確率が高まります。
また、脆弱性が定期的に数多く見つかっている点も使用しにくい点です。
しかしながら、当社がこれまでに保守を引き受けたWordPressサイトには、Smash Balloon Social Photo Feedが使用されていたことはあります。
日本国内では多く使用されているプラグインの一つという印象です。
Instagramフィードの表示 | ユーザーのInstagramアカウントの写真をウェブサイトに表示できます。 個人のフィードやビジネスアカウントのフィードの同期が可能であり、Instagramで新しい写真が投稿されると、自動的にウェブサイト上のフィードに反映されます。 なお、無料版ではフィードレイアウトはグリッドしか選択できない、ストーリーズを含めることができない、フォロワー数を表示できないなどの制限があります。 |
前述のように、有名なプラグイン(ダウンロード数が多いプラグイン)は、攻撃のターゲットとして狙われやすいという側面があります。
当社では、WordPress自体は非常に堅牢なCMSであり、バージョンアップをしっかりと行えば大きな侵入のリスクは少ないと考えています。
実際に、WordPress本体(コア)の脆弱性の数はプラグインやテーマに比べて少なく、特に最近では緊急レベルの脆弱性報告は減少しています。
※詳細は、当社が公表しているWordPressの脆弱性情報一覧を参照してください。
一方で、膨大な数のプラグインやアドオンが存在し、それらの脆弱性を狙った攻撃が増加しています。
※「20 WordPress Statistics You Should Know in 2023」によれば、WordPressに関連する脆弱性の約90%はプラグインに、6%はテーマに、残りの4%はWordPressコアに起因しているとのことです。
特に、Smash Balloon Social Photo Feedのようなダウンロード数の多いプラグインは、多くのユーザーに利用されているため狙われやすい傾向にあります。
そのため、当社では、脆弱性に対する対応が遅い、もしくは対応しないプラグインは、クライアントに推奨していません。
Smash Balloon Social Photo Feedは定期的にアップデートされ、脆弱性が迅速に修正されているため、問題ないと考えております。
公式サイトに直接的な記載は見つけることができませんでしたが、Smash Balloon Social Photo Feedでは、一般的なセマンティックバージョニングが採用されているようです。
3つの数字の左から「メジャーバージョン.マイナーバージョン.パッチバージョン」となります。
なお、一部のバージョンでは4桁目の数字が追加されていますが、これはセマンティックバージョニングの定義に従ったビルドメタデータやプレリリースではなく、追加の修正や同一日に複数のリリースを行った際に適用される、独自のバージョニング方式であると考えられます。
2024年10月30日現在、Smash Balloon Social Photo Feedの最新バージョンは6.5.1であり、WordPress6.6.2までテストされています。
通常のオープンソースソフトウェアでは、公式のサポート(新機能の追加、不具合の改修、セキュリティパッチの提供)対象は最新パッチバージョンのみであることから、最新パッチバージョンへのアップデートを推奨いたします。
バージョン1.11.3以下には既知の脆弱性があるため、最新のパッチバージョンへのアップデートを実施してください。
2024年10月30日現在での、Smash Balloon Social Photo Feedのバージョン情報は次の通りです。
バージョン | リリース日 | サポート期限 | 修正された脆弱性 |
6.5.1 | 2024年9月18日 | サポート中 | - |
6.5.0 | 2024年7月30日 | 2024年9月18日 | - |
1.12 | 2019年4月2日 | 2019年7月3日 | Wordfence |
1.11.3 | 2019年3月5日 | 2019年4月2日 | - |
1.6 | 2018年1月18日 | 2018年3月1日 | Wordfence |
1.4.7 | 2016年7月31日 | 2016年9月12日 | Wordfence |
※上記の内容は、WordPress公式サイト開発ログの情報を正として、バージョン6.5.0までを掲載しています。また、それ以前のバージョンについては、既知の脆弱性が存在する最新バージョンと、下記脆弱性が修正されたバージョンを追記しています。
※バージョン1.11.3以下には既知の脆弱性が存在するため、グレーにしています。
Smash Balloon Social Photo Feedの最新バージョンは6.5.1であり、当社が把握している全ての脆弱性に修正対応済みとなっています。
また、Smash Balloon Social Photo Feed 1.11.3以下のバージョンをご使用の場合には、既知の脆弱性(重要レベル)が存在しますので、最新バージョンへとアップデートをしてください。
なお、Smash Balloon Social Photo Feed自体に関する脆弱性情報で、当社が把握しているものは次の通りです。
脆弱性情報 | 深刻度 | 影響を受けるバージョン | 修正されたバージョン |
Wordfence | CVSS v3 8.8 (重要) |
・Smash Balloon Social Photo Feed 1.11.3までのバージョン | ・Smash Balloon Social Photo Feed 1.12 |
Wordfence | CVSS v3 6.1 (警告) |
・Smash Balloon Social Photo Feed 1.5.1までのバージョン | ・Smash Balloon Social Photo Feed 1.6 |
Wordfence | CVSS v3 6.4 (警告) |
・Smash Balloon Social Photo Feed 1.4.6.2までのバージョン | ・Smash Balloon Social Photo Feed 1.4.7 |
※脆弱性情報については、情報セキュリティにおける脆弱性情報に付けられている番号であるCommon Vulnerabilities and Exposures(本記事では「CVE」とします)の順序に従って掲載しています。CVEの番号が採番されていない脆弱性情報については、Wordfenceなどの情報へのリンクを掲載しています。
※深刻度については、共通脆弱性評価システムCVSS v3に基づいています。本記事では、CVSS v3にて緊急(9.0~10.0)、重要(7.0~8.9)、警告(4.0~6.9)に区分されるもののみを掲載しており、その他の情報については、JVN iPediaなどでご確認ください。CVSS v3の適用前の脆弱性情報についてはCVSS v2に基づいて記載しています。
※深刻度の数値はJapan Vulnerability Notes(本記事では「JVN」とします)及び、JVNが評価を合わせている米国国立標準技術研究所(NIST)が運営する脆弱性データベースであるNational Vulnerability Database(以下「NVD」)や独立行政法人情報処理推進機構(以下「IPA」)に準拠していますが、NVD、IPAにてスコアリングされていない場合には、Wordfenceのスコアに準拠しています。
※本記事における脆弱性情報は、Smash Balloon Social Photo Feed無料版に関するもので、Smash Balloon Social Photo Feed有料版に関するものは掲載しておりません。
※本記事における脆弱性情報は、当社が把握しているものだけであり、全ての脆弱性情報を網羅できているかはわかりません。
※本記事における脆弱性情報をご利用になる場合には、必ずCVE、JVN、NVD、Wordfenceなどの情報を確認されたうえで、自己責任でご利用ください。
前述のように、Smash Balloon Social Photo Feedは世界的に有名なプラグインであり、日本国内でも人気のあるプラグインです。
しかしながら、Smash Balloon Social Photo Feed自体のバージョンアップをしようと思っても、WordPressやPHPのバージョンアップが必要であったり、設定が複雑であるなどの問題に直面することもあるかと思います。
taneCREATIVE社は、「リモートによるWebアプリケーションのセキュリティ対策をパッケージ化、首都圏大手企業に提供」している点が評価され、2021年にJ-Startup NIIGATAに選定されているWeb制作会社で、Smash Balloon Social Photo FeedとWordPressはもちろんのこと、PHP、MySQL、MariaDBについてもノウハウを有しています。
※「J-Startup NIIGATA」とは、経済産業省が2018年に開始したJ-Startupプログラムの地域版として、新潟発のロールモデルとなるスタートアップ企業群を明らかにし、官民連携により集中的に支援する仕組みを構築することで、新潟県におけるスタートアップ・エコシステムを強化する取組です。
Smash Balloon Social Photo Feedを使用したWebサイト制作やアップデートを含む保守管理に関しては、こちらのお問合せよりお気軽にご相談ください。
taneCREATIVEに所属する謎のトラ。