Novi propust u WordPressu omogućava napadačima preuzimanje potpune kontrole nad sajtom

Vesti, 14.03.2019, 10:00 AM

Ako iz nekog razloga vaš WordPress sajt još uvek nije automatski ažuriran na najnoviju verziju 5.1.1, preporučuje se da ga odmah nadogradite pre nego što hakeri iskoriste prednosti nedavno otkrivene ranjivosti i hakuju sajt.

Simon Skanel, istraživač u RIPS Technologies GmbH, otkrio je novu grešku u softveru za upravljanje sadržajem (CMS) koja može dovesti do napada sa daljinskim izvršavanjem koda.

Problem je u odeljku za komentare Wordpressa, jednoj od njegovih ključnih komponenti koje su podrazumevano omogućene i utiče na sve WordPress instalacije pre verzije 5.1.1.

Za razliku od većine ranije dokumentovanih napada na WordPress, ovaj novi exploit omogućava čak i "neovlašćenom, udaljenom napadaču" da kompromituje i daljinski pokrene kod na ugroženim WordPress sajtovima.

"S obzirom da su komentari osnovna karakteristika blogova i da su podrazumevano omogućeni, ranjivost je uticala na milione sajtova", kaže Skanel.

Exploit koji je prikazao Skanel oslanja se na to što WordPress ne koristi CSRF (cross-site request forgery) proveru kada korisnik postavi novi komentar, omogućavajući napadačima da šalju komentare u ime administratora, na to što komentari koje je postavio administratorski nalog nisu očišćeni i mogu uključivati proizvoljne HTML oznake, čak i SCRIPT oznake, kao i na to što WordPress frontend nije zaštićen X-Frame-Options zaglavljem, što napadačima omogućava da otvore ciljani WordPress sajt u skrivenom iFrameu sa svog web sajta.

Kombinovanjem svih ovih problema, napadač može tiho ubaciti sačuvani XSS payload na ciljani web sajt tako što će prevariti prijavljenog administratora da poseti maliciozni web sajt koji sadrži kod exploita.

Napadač može preuzeti potpunu kontrolu nad WordPress web sajtovima daljinski ubacujući XSS payload koji može modifikovati WordPress šablon direktno tako da uključi maliciozni PHP backdoor - sve u jednom koraku a da administrator to i ne primeti.

Nakon što je Skanel prijavio ovu ranjivost u oktobru prošle godine, WordPress je pokušao da ublaži problem, umesto da jednostavno omogući CSRF zaštitu.

Međutim, Skanel je uspeo da zaobiđe ovu odbranu, posle čega je WordPress najzad juče objavio WordPress 5.1.1 sa stabilnom zakrpom.

Pošto WordPress podrazumevano automatski instalira bezbednosne ispravke, trebalo bi da već koristite najnoviju verziju softvera. Međutim, ako je automatsko ažuriranje isključeno, preporuka je da privremeno onemogućite komentare i da se odjavite iz sesije administratora dok se ne instalira sigurnosna zakrpa.