Már próbálják kihasználni a WordPress frissítési hibáját
A Defiant szerint támadók már keresik az alkalmat egy olyan WordPress-hiba kihasználására, amelyhez nincs szükségük felhasználói fiókra. A WordPress 7.1.4 összesen 22 biztonsági hibát javít; a kiadás közleménye az oldalak azonnali frissítését javasolja.
A frissítés közben nyílhat támadási lehetőség
A WordPress közleménye szerint a frissítési folyamat egyik gyengesége a frissítés idején távoli kódfuttatáshoz vezethet. A hibát a WordPress 7.1.4-ben javították, amely október 28-án jelent meg.
A Defiant tájékoztatása szerint a támadónak nem kell bejelentkeznie az oldalra, de nehéz dolga van: egy szűk időablakot kell eltalálnia, amikor a WordPress egy teljes frissítőcsomagot bont ki. A sikeres támadáshoz több feltételnek is teljesülnie kell, köztük annak, hogy az ideiglenes fájlok az internetről és PHP-val is elérhetők legyenek.
A biztonsági cég szerint az új fájlok sok szerveren kiszámítható, a webről elérhető könyvtárba kerülnek. A támadónak ismernie vagy felderítenie kell ezt az útvonalat, és azelőtt kell végeznie, hogy a WordPress eltávolítaná az ideiglenes fájlokat. A javítás többek között véletlenszerűvé teszi az átmeneti könyvtár nevét.
A Defiant már támadási kísérleteket lát
A Defiant szerint a támadók ismételten lekérik a sérülékeny útvonalakat, hogy eltalálják a kihasználásra rendelkezésre álló, másodpercekig tartó időszakot. A Wordfence adatai alapján az új tűzfalszabály bevezetése után kilenc perccel érkezett az első egyező kérés.
Az első 21 órában több mint 18 500 olyan kérést rögzítettek, amely az ideiglenes telepítőfájl útvonalát célozta. A kísérletekről szóló beszámoló sikeres feltörést nem említ. A forrás szerint a hibához még nem rendeltek CVE-azonosítót.
Más biztonsági hibákat is javítanak
A 22 javított hiba között a frissítési folyamat gyengeségén túl több más probléma is szerepel. A WordPress felsorolása blokkokhoz, adateltávolítási kérelmekhez, felhasználónevekhez és az Interactivity API-hoz kapcsolódó sérülékenységeket is említ. Utóbbinál egy szolgáltatásmegtagadással kapcsolatos hibát is orvosoltak.
Egy másik javítás arra vonatkozik, hogy be nem jelentkezett látogatók is felfedezhették a testreszabóban készült, még közzé nem tett módosításokat. A közlemény egy jogosultsági hibát is megnevez: bizonyos felhasználók olyan bejegyzésekhez tartozó jegyzeteket olvashattak, amelyeket nem szerkeszthettek.
A kiadás a beépített gyökértanúsítványokat is frissíti az eMudhra visszavonása miatt.
Azonnali frissítést javasol a WordPress
A WordPress közleménye szerint a 7.1.4 letölthető a WordPress.org oldalról, vagy az adminisztrációs felület Frissítések menüpontjából telepíthető. Azokon a webhelyeken, amelyek támogatják az automatikus háttérfrissítést, a folyamat automatikusan elindul.
A biztonsági javításokat a régebbi, erre jogosult ágakhoz is elkészítik, egészen a 4.7-es ágig. A közlemény szerint ezek kiadása folyamatban van: amint elkészülnek, megjelennek. A WordPress ugyanakkor csak a legfrissebb verziót támogatja aktívan.
A következő főverzió a tervek szerint a 7.2 lesz, december 8-i megjelenéssel. A 7.2 Beta 3 már tartalmazza az alkalmazható javításokat.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum