Novi propust u WordPressu omogućava napadačima preuzimanje potpune kontrole nad sajtom

Vesti, 14.03.2019, 10:00 AM

Novi propust u WordPressu omogućava napadačima preuzimanje potpune kontrole nad sajtom

Ako iz nekog razloga vaš WordPress sajt još uvek nije automatski ažuriran na najnoviju verziju 5.1.1, preporučuje se da ga odmah nadogradite pre nego što hakeri iskoriste prednosti nedavno otkrivene ranjivosti i hakuju sajt.

Simon Skanel, istraživač u RIPS Technologies GmbH, otkrio je novu grešku u softveru za upravljanje sadržajem (CMS) koja može dovesti do napada sa daljinskim izvršavanjem koda.

Problem je u odeljku za komentare Wordpressa, jednoj od njegovih ključnih komponenti koje su podrazumevano omogućene i utiče na sve WordPress instalacije pre verzije 5.1.1.

Za razliku od većine ranije dokumentovanih napada na WordPress, ovaj novi exploit omogućava čak i "neovlašćenom, udaljenom napadaču" da kompromituje i daljinski pokrene kod na ugroženim WordPress sajtovima.

"S obzirom da su komentari osnovna karakteristika blogova i da su podrazumevano omogućeni, ranjivost je uticala na milione sajtova", kaže Skanel.

Exploit koji je prikazao Skanel oslanja se na to što WordPress ne koristi CSRF (cross-site request forgery) proveru kada korisnik postavi novi komentar, omogućavajući napadačima da šalju komentare u ime administratora, na to što komentari koje je postavio administratorski nalog nisu očišćeni i mogu uključivati proizvoljne HTML oznake, čak i SCRIPT oznake, kao i na to što WordPress frontend nije zaštićen X-Frame-Options zaglavljem, što napadačima omogućava da otvore ciljani WordPress sajt u skrivenom iFrameu sa svog web sajta.

Kombinovanjem svih ovih problema, napadač može tiho ubaciti sačuvani XSS payload na ciljani web sajt tako što će prevariti prijavljenog administratora da poseti maliciozni web sajt koji sadrži kod exploita.

Napadač može preuzeti potpunu kontrolu nad WordPress web sajtovima daljinski ubacujući XSS payload koji može modifikovati WordPress šablon direktno tako da uključi maliciozni PHP backdoor - sve u jednom koraku a da administrator to i ne primeti.

Nakon što je Skanel prijavio ovu ranjivost u oktobru prošle godine, WordPress je pokušao da ublaži problem, umesto da jednostavno omogući CSRF zaštitu.

Međutim, Skanel je uspeo da zaobiđe ovu odbranu, posle čega je WordPress najzad juče objavio WordPress 5.1.1 sa stabilnom zakrpom.

Pošto WordPress podrazumevano automatski instalira bezbednosne ispravke, trebalo bi da već koristite najnoviju verziju softvera. Međutim, ako je automatsko ažuriranje isključeno, preporuka je da privremeno onemogućite komentare i da se odjavite iz sesije administratora dok se ne instalira sigurnosna zakrpa.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Microsoft povukao Huawei uređaje iz svoje online prodavnice

Microsoft  povukao Huawei uređaje iz svoje online prodavnice

Microsoft je još jedna od američkih kompanija za koju se očekuje da će prekinuti svoje veze sa Huaweijem nakon što je prošle nedelje američki ... Dalje

Procurela baza podataka sa informacijama o milionima korisnika Instagrama

Procurela baza podataka sa informacijama o milionima korisnika Instagrama

Istraživač Anurag Sen otkrio je ogromnu bazu podataka koja sadrži privatne kontakt informacije, uključujući brojeve telefona i email adrese oko ... Dalje

Za 11 godina stari laptop zaražen čuvenim malverima na aukciji ponuđeno skoro 1,3 miliona dolara

Za 11 godina stari laptop zaražen čuvenim malverima na aukciji ponuđeno skoro 1,3 miliona dolara

Laptop koji je namerno zaražen sa šest ozloglašenih malvera, uključujući čuvene malvere WannaCry i ILoveIou, prodaje se na aukciji u SAD kao um... Dalje

Sankcije protiv kompanije Huawei suspendovane na 90 dana, osnivač kompanije kaže da ih SAD potcenjuju

Sankcije protiv kompanije Huawei suspendovane na 90 dana, osnivač kompanije kaže da ih SAD potcenjuju

Osnivač kompanije Huawei, Ren Žengfej, komentarišući najnoviji potez američke administracije usmeren protiv kineske kompanije, rekao je da SAD "p... Dalje

Google priznao da je od 2005. deo lozinki korisnika G Suite čuvao u običnom tekstu

Google priznao da je od 2005. deo lozinki korisnika G Suite čuvao u običnom tekstu

Facebook nije jedina velika tehnološka kompanija koja čuva lozinke u obliku običnog teksta. Google je upozorio korisnike G Suite da je zbog "grešk... Dalje