субота, 16. март 2019.

WordPress – otkrivena nova kritična ranjivost


Otkriven je novi sigurnosni propust u WordPress-u koji omogućava napadačima potpuno preuzimanje kontrole nad internet stranicom. Propust je otkrio Simon Scannell, sigurnosni istraživač iz kompanije RIPS Technologies GmbH. WordPress ranjivost se nalazi u softveru za upravljanje sadržajem (CMS - content management software), koji može omogućiti napadačima daljinsko izvršavanje proizvoljnog koda.





Problem ove ranjivosti je što WordPress ne koristi CSRF (cross-site request forgery) provjeru korisničkih komentara, a opcija komentara je podrazumijevano uključena, tako da su ranjive sve verzije WordPress instalacije do verzije 5.1.1. Napadač može u komentarima koristiti proizvoljne HTML oznake, SCRIPT oznake i mogućnost da otvori WordPress internet stranicu u skrivenom iFrameu, pošto WordPress frontend nije zaštićen X-Frame-Options zaglavljem.



Kombinacijom navedenih mogućnosti, napadač može prevariti prijavljenog administratora ubacivanjem XSS payload-a da posjeti posebno pripremljenu internet stranicu i da se na taj način iskoristi navedenu ranjivost i preuzme potpunu kontrolu nad WordPress internet stranicom. Kada se ranjivost aktivira, napadač preuzima WordPress internet stranicu tako što daljinski ubacuje XSS payload koji dalje može promijeniti WordPress šablon aktivirajući tako zlonamjerni PHP backdoor. Ovaj proces se odvija u jednom koraku, tako da ga administrator ne može primjetiti.



Simon Scannell je prijavio ovu ranjivost prošle godine u oktobru, nakon čega je WordPress pokušao da ublaži ovu ranjivost, ali ne i da omogući CSRF zaštitu. Scannell je ponovo testirao implementiranu obranu i dokazao da se može zaobići nakon čega je WordPress objavio verziju 5.1.1 koja rješava ovaj problem.



KAKO SE ZAŠTITI:



Automatska instalacija sigurnosnih ažuriranja je podrazumijevana vrijednost kod WordPress-a. Ako je iz nekog razloga automatsko ažuriranje isključeno, preporučuje se da se privremeno onemoguće komentari i da se odjavi administratorka sesija dok se ne primjeni sigurnosno ažuriranje na verziju 5.1.1.