Релиз на WordPress 5.2 с поддръжка за проверки на обновления по цифров подпис

Представен релиз на системата за управление на уеб съдържание WordPress 5.2. Изданието е забележително с края на шестгодишната епопея по реализиране на възможности за проверка на актуализации и добавки по цифрова подпис.

Досега при инсталиране на актуализации в WordPress основният фактор за осигуряване на сигурност беше доверието в инфраструктурата и сървърите на WordPress (след изтегляне се извършваше сверка на хаша без проверка на източника). При компрометиране на сървърите на проекта, атакуващите имаха възможност да подменят актуализацията и да разпространяват зловреден код сред сайтовете на базата на WordPress, използващи системата за автоматично инсталиране на актуализации. В съответствие с вече прилаганата доверителна модел на доставка, подобна подмяна на страната на потребителите оставяше незабелязана.

С оглед на информацията, че платформата WordPress, според данните на проекта w3techs, се използва на 33.8% от сайтовете в мрежата, инцидентът би имал катастрофални размери. При това опасността от компрометиране на инфраструктурата не беше хипотетична, а напълно реална. Например, преди няколко години, един от изследователите по сигурността показа уязвимост, която позволяваше на атакуващия да изпълни своя код на страната на сървера api.wordpress.org.

При използване на цифрови подписи, получаването на контрол над сървъра за разпространение на актуализации няма да доведе до компрометиране на потребителските системи, тъй като за извършване на атака допълнително е необходимо да се получи отделно съхраняваният секретен ключ, с помощта на който се извършва подписването на актуализациите.

Внедряването на проверка на източника на актуализациите по цифрова подпис пречеше на това, че поддръжката на необходимите криптографски алгоритми беше налична в стандартната доставка на PHP относително наскоро. Необходимите криптографски алгоритми се появиха благодарение на интеграцията на библиотеката Libsodium в основния състав на PHP 7.2. Но в качеството на минимално поддържана версия на PHP в WordPress е обявен версия 5.2.4 (от WordPress 5.2 до 5.6.20). Активирането на поддръжка за цифрови подписи би довело до значително повишаване на изискванията за минималната поддържана версия на PHP или добавяне на външна зависимост, на което разработчиците не можеха да се съгласят, предвид разпространението на версиите на PHP в хостинг системите.

Изходът беше разработка и добавянето на компактен вариант на Libsodium в WordPress 5.2 — Sodium Compat, където на PHP е реализиран минимален набор от алгоритми за проверка на цифрови подписи. Реализацията не е оптимална по отношение на производителността, но напълно решава проблема с съвместимостта и позволява на разработчиците на плъгини да започнат внедряването на модерни криптографски алгоритми.

За генериране на цифрови подписи се използва алгоритъмът Ed25519, разработен с участието на Даниел Бернщайн (Daniel J. Bernstein). Цифровата подписка се генерира за хеш стойността SHA384, изчислена от съдържанието на архива с обновления. Ed25519 осигурява по-високо ниво на сигурност в сравнение с ECDSA и DSA и демонстрира много висока скорост на верификация и създаване на подписи. Устойчивостта на хакерски атаки за Ed25519 е около 2^128 (в средно за атака на Ed25519 ще са нужни 2^140 битови операции), което съответства на устойчивостта на алгоритми като NIST P-256 и RSA с ключ от 3000 бита или 128-битов блоков шифър. Ed25519 също така е устойчив на проблеми с колизии в хешовете, не е чувствителен на атаки чрез анализ на времето на кеширане (cache-timing) и атаки по странични канали.

В изданието на WordPress 5.2 проверката на цифровата подпись в момента обхваща само основните обновления на платформата и по подразбиране не блокира обновленията, а единствено информира потребителя за възникнала проблема. Решено е блокировката по подразбиране да не бъде включвана веднага поради необходимостта от пълна проверка и заобикаляне на възможни проблеми. В бъдеще се планира добавяне на проверка на цифровата подпись за верифициране на източника на инсталация на теми и плъгини (производителите ще могат да подписват релизите с ключа си).

Освен поддръжката на цифрови подписи в WordPress 5.2, следните промени също могат да бъдат отбелязани:

• В раздела „Състояние на сайта“ са добавени две нови страници за отстраняване на типични проблеми с конфигурацията, както и предоставена форма, чрез която разработчиците могат да оставят отстраняваща информация на администраторите на сайта;
• Добавена е реализация на т.нар. „бял екран на смъртта“, който се показва при фатални проблеми и помага на администратора самостоятелно да коригира проблемите, свързани с плъгини или теми, чрез вход в специален режим на възстановяване след срив;
• Реализирана е система за проверка на съвместимостта с плъгини, която автоматично проверява възможността за използване на плъгина в текущата конфигурация, вземайки предвид приложената версия на PHP. Ако за работа на плъгина е необходима по-нова версия на PHP, системата автоматично блокира активацията на този плъгин;
• Добавена е поддръжка за включване на модули с JavaScript код, използвайки webpack и Babel;
• Добавен е нов шаблон privacy-policy.php, позволяващ настройка на съдържанието на страницата с условията за спазване на конфиденциалност;
• За темите е добавен обработчик на wp_body_open hook, позволяващ вмъкване на код веднага след тагa body;
• Изискванията за минималната версия на PHP са повишени до 5.6.20, в плъгините и темите се е появила възможност за използване на пространство имена и анонимни функции;
• Добавени са 13 нови пиктограми.

Допълнително може да се спомене откритие на критична уязвимост в WordPress плъгина WP Live Chat (CVE-2019-11185). Уязвимостта позволява изпълнението на произволен PHP код на сървъра. Плъгинът се използва на повече от 27 000 сайта за организиране на интерактивен чат с посетители, включително на сайтове на компании като IKEA, Adobe, Huawei, PayPal, Tele2 и McDonald’s (Live Chat често се използва за реализиране на изскачащи настоятелни чатове на сайтове на компании, предлагайки да се свържете с представител).

Проблемът се проявява в кода за качване на файлове на сървъра и позволява заобикаляне на проверката за допустими типове файлове и качване на PHP скрипт на сървъра, след което да бъде изпълнен чрез пряко извикване през уеб. Интересно е, че миналата година в Live Chat вече беше открита подобна уязвимост (CVE-2018-12426), която позволяваше качването на PHP код под формата на изображение, като се укажеше различен тип съдържание в полето Content-type. В рамките на корекцията на проблема бяха добавени допълнителни проверки по бели списъци и MIME тип на съдържанието. Както се оказа, тези проверки са реализирани некоректно и лесно могат да бъдат заобиколени.

В частност, директното качване на файлове с разширение „.php“ е забранено, но разширението „.phtml“ не е добавено в черния списък и на много сървъри е свързано с интерпретатора PHP. Белият списък допуска само качването на изображения, но може да бъде заобиколен, като се зададе двойно разширение, например „.gif.phtml“. Заобикалянето на проверката на MIME типа в началото на файла, преди отварянето на PHP таг, е достатъчно да се зададе реда „GIF89a“.

Източник: opennet.ru