[WordPress ranljivost] Preprečite prevzem nadzora nad spletnim mestom

Zaznana WordPress ranljivost

V preteklem tednu so raziskovalci RIPS Technologies GmbH naznanili, da so že pred sedmimi meseci zaznali kritičnoranljivost v WordPressu, ki posega v njegovo  jedro. Ranljivost, ki vpliva na vse različice WordPressa, omogoča uporabniku z omejenimi pravicami, da prevzame popolni nadzor nad spletno stranjo in jo spreminja ter prilagaja za lastne potrebe. S takšnim nadzorom lahko namesti tudi kodo, ki izkorišča podatke ali zavaja obiskovalce spletnega mesta.

Kako varen je WordPress si preberite v beli knjigi, v kateri kolega Vladimir Ban predstavlja varnostna tveganja in poda 20 priporočil za varovanje WordPress spletnih strani.

Raziskovalci so ugotovili, da funkcija brisanja sličic sprejme ukaz, ki uporabniku z omejenimi pravicami omogoči brisanje katerekoli datoteke iz spletnega gostovanja. Funkcija brisanja bi sicer morala biti dovoljena le strežniku ali skrbniku spletnega mesta. Z zlorabo ranljivosti lahko heker izbriše datoteko .htaccess, ki preprečuje zunanjim uporabnikom dostop do ključnih datotek. Z izbrisom te datoteke se odstrani “ključavnica” za dostop do občutljivih datotek, do katerih uporabnik ne more dostopati oz. nima vpogleda vanje.

Kako ranljivost izkoriščajo hekerji?

V video posnetku si oglejte, na kakšen način napadalec izbriše najbolj pomembno datoteko wp-config.php, ki vsebuje parametre za dostop do podatkovne baze. Z izbrisom datoteke pridobi dostop do namestitvenega menija. Tako lahko postavi spletno mesto z identičnim izgledom, ki ima v ozadju nameščene zlonamerne kode, ki beležijo podatke obiskovalcev spletnega mesta.

Kako se zavarovati?

Raziskovalci, ki so zaznali ranljivost so nemudoma obvestili WordPress varnostno skupino, vendar v tem času, še ni objavila uradnega popravka. Pričakujemo, da bo z novo različico programske opreme odpravljena ta ranljivost. Do takrat predlagamo, da:

• Preverite uporabniške dostope do vašega spletnega mesta.
• Če želite sami opraviti ranljivost, sledite postopku, ki so ga pripravili strokovnjaki iz RIPS Technologies GmbH.

Kako vam lahko pomagamo?

Varnostni pregled spletnih mest, ki ga izvedemo z našo ekipo etičnih hekerjev, je pomemben del zagotavljanja varnosti informacijskih sistemov. Če želite preveriti, kakšno je stanje v vašem informacijskem sistemu, nas kontaktirajte in z veseljem preučimo vaš primer.