Webmasteri bi se trebali odmah ažurirati kako bi spriječili preuzimanje web stranica.
Greška otkrivena u WordPressu omogućuje napadačima da pokrenu napad SQL injekcijom koji dovodi do potpunog otmice web stranice.
Ranjivost je otkrivena u WordPress sustavu za upravljanje sadržajem (CMS) verzija 4.8.2 i niže. U utorak, WordPress najavio lansiranje verzije 4.8.3 kao sigurnosne verzije koja ublažava sigurnosni nedostatak.
Sigurnost
- 8 navika iznimno sigurnih radnika na daljinu
- Kako pronaći i ukloniti špijunski softver s telefona
- Najbolje VPN usluge: Kako se uspoređuju prvih 5?
- Kako saznati jeste li uključeni u povredu podataka -- i što učiniti sljedeće
CMS pružatelj usluga "snažno vas potiče da odmah ažurirate svoje web stranice."
Ranjivost, CVE-2017-14723, pojavljuje se jer WordPress verzije 4.8.2 i ranije pogrešno rukuje određenim znakovima, što može dovesti do $wpdb->prepare() stvara "neočekivane i nesigurne upite" koji mogu dovesti do potencijalnog ubacivanja SQL-a napadi.
"Jezgra WordPressa nije izravno ranjiva na ovaj problem, ali dodali smo očvršćavanje kako bismo spriječili dodatke i teme da slučajno uzrokuju ranjivost", kaže WordPress.
Ovu ranjivost prijavio je sigurnosni istraživač Anthony Ferrara putem platforme HackerOne bug bounty 20. rujna.
Problem je otkriven u popravku koji je objavio WordPress u verziji 4.8.2, a koji zapravo nije riješio temeljnu sigurnost problem i također je utjecao na funkcionalnost mnogih web stranica, razbivši procijenjenih 1,2 milijuna redaka koda u postupak.
Dan nakon objave, Ferrara je prijavila grešku, ali kaže da je obavijest "ignorirana nekoliko tjedana".
Nakon što je obavijestio WordPress tim da namjerava javno otkriti problem, WordPress je obratio pozornost istraživaču, a nakon pet tjedana, frustracija sa strane istraživača i problemi s pogrešnom komunikacijom, Wordpress tim i Ferrara uspjeli su dogovoriti vrijeme za javnost osloboditi.
WordPress i Ferrara surađivali su kako bi stvorili popravak koji ublažava problem -- iako istraživač kaže da je potrebno učiniti više kako bi se u potpunosti riješili problemi prethodne zakrpe uzrokovano.
rekao je Ferrara:
"Ispravno rješenje je odbaciti cijeli ovaj mehanizam pripreme (koji vraća niz SQL upita). Učinite ono što u osnovi rade svi drugi i vratite objekat naredbe/upita ili izravno izvršiti upit. Na taj način ne možete dvostruko pripremiti niz.
Vrijedno je reći da bi ovo bio a glavni prijelomna promjena za WP.
To ne treba (i u praksi ne bi trebalo) biti preko noći - oni to mogu učiniti paralelno s postojećim API-jem, odbacivanjem starog i uklanjanjem na vrijeme - ali to se mora dogoditi.
Sadašnji sustav je nesigurno po dizajnu. To ne znači da ga je uvijek moguće hakirati, ali znači da morate aktivno raditi na tome da ga se ne može napadati."
"Suštinski problem je ublažen", dodao je Ferrara. "Moja perspektiva interakcije isprva je bila frustrirajuća, ali je postala mnogo bolja prema kraju. Bio sam razočaran dobar dio proteklih 6 tjedana. Sada se oprezno nadam."
Korisnici mogu ažurirati automatski ili preuzmite WordPress 4.8.3 za ručno ažuriranje.
U rujnu, WordPress je u sigurnosnoj zakrpi popravio ranjivost skriptiranja na više web-mjesta i sigurnosni propust u prolazu putanje.
Mobilne aplikacije koje morate imati za šifriranje vaših poruka i poziva
Prethodno i povezano izvješće
- Wordpress poziva korisnike da sada ažuriraju kako bi popravili kritične sigurnosne rupe
- Tisuće WordPress web stranica oštećeno zbog neuspješnih zakrpa
- WordPress: Zašto vam nismo rekli o velikom nultom danu koji smo popravili prošli tjedan