Релиз на WordPress 5.2 с поддръжка на проверка на актуализации по цифрова подписи

Представено релиз на система за управление на уеб съдържание WordPress 5.2. Изданието е забележително с приключването на шестгодишната епопея по реализиране възможности на проверките за актуализации и добавки по цифрова подписи.

Досега при инсталиране на актуализации в WordPress основният фактор за осигуряване на сигурността беше доверието в инфраструктурата и сървърите на WordPress (след изтеглянето се извършваше проверка на хеша без верификация на източника). В случай на компроментиране на сървърите на проекта, атакуващите можеха да подменят актуализацията и да разпространяват злонамерен код сред сайтовете на WordPress, които използват системата за автоматична инсталация на актуализации. Според преди това прилагания модел на доверие за доставка, от страна на потребителите такава подмяна щеше да остане незабелязана.

С оглед на това, че данни проектът w3techs платформата WordPress се използва на 33.8% от сайтовете в мрежата, инцидентът щеше да приеме мащаб на катастрофа. При това опасността от компрометиране на инфраструктурата не беше хипотетична, а напълно реална. Например, преди няколко години един от изследователите по сигурността демонстрира уязвимости, която позволи на атакуващия да изпълни своя код на страна на сървъра api.wordpress.org.

При прилагане на цифрови подписи, получаването на контрол над сървъра за разпространение на актуализации не води до компрометиране на потребителските системи, тъй като за провеждане на атаката е необходимо също да се получи отделно съхраняваният частен ключ, с помощта на който се извършва подписването на актуализациите.

Внедряването на проверка на източника на актуализации по цифрова подписи беше затруднено от факта, че поддръжката на необходимите криптографски алгоритми се появи в стандартната доставка на PHP сравнително наскоро. Нужните криптографски алгоритми се появиха благодарение на интеграцията на библиотеката Libsodium в основния състав на PHP 7.2. Но като минимално поддържана версия в WordPress е заявена версия 5.2.4 (начиная с WordPress 5.2 — 5.6.20). Включването на поддръжка на цифрови подписи би довело до значително увеличаване на изискванията към минимално поддържаната версия на PHP или добавяне на външна зависимост, на което разработчиците не можеха да се съгласят с оглед на разпространението на версиите на PHP в хостинг системите. Решението беше

разработка разработка и включение в състава на WordPress 5.2 компактна версия на Libsodium — Sodium Compat, реализиран на PHP и предоставящ минимален набор алгоритми за проверка на цифрови подписи. Реализацията подлежи на подобрение що се отнася до производителността, но напълно решава проблема с съвместимостта и позволява на разработчиците на плъгини да започнат внедряването на модерни криптографски алгоритми.

За формированието на цифрови подписи се използва алгоритъм Ed25519, разработен с участието на Даниел Бернщейн (Daniel J. Bernstein). Цифровата подпис се формира за стойността на хеша SHA384, изчислена от съдържанието на архива с обновлението. Ed25519 предлага по-високо ниво на сигурност в сравнение с ECDSA и DSA и демонстрира много висока скорост при верификация и създаване на подписи. Устойчивостта на Ed25519 срещу атаки е около 2^128 (в средно за атака на Ed25519 са необходими 2^140 битови операции), което отговаря на устойчивостта на алгоритми като NIST P-256 и RSA с размер на ключа от 3000 бита или 128-битов блоков шифър. Ed25519 не е подложен на проблеми с колизии в хешовете, не е чувствителен на атаки чрез анализ на времето на кеша (cache-timing) и атаки чрез странични канали.

В изданието WordPress 5.2 проверката на цифрова подписка за сега обхваща само основните обновления на платформата и по подразбиране не води до блокиране на обновлението, а просто уведомява потребителя за възникнал проблем. Решено е да не се включва блокировка по подразбиране поради необходимостта от пълна проверка и заобикаляне на възможни проблеми. В бъдеще се планира да бъде добавена проверка на цифровата подписка и за верификация на източника на инсталирането на теми и плъгини (производителите ще могат да подписват релизите с техния ключ).

Освен поддръжката на цифрови подписи в WordPress 5.2, могат да се отбележат следните изменения:

• В секцията „Site Health“ са добавени две нови страници за отстраняване на типични проблеми с настройките, както и форма, чрез която разработчиците могат да оставят отстранителна информация на администраторите на сайта;
• Добавена е реализация на „бял екран на смъртта“, който се извежда в случаи на фатални проблеми и помага на администратора да коригира самостоятелно проблемите, свързани с плъгините или темите, като премине в специален режим на възстановяване след сбой;
• Реализирана е система за проверка на съвместимост с плъгини, която автоматично проверява възможността за използване на плъгина в текущата конфигурация, взимайки под внимание приложената версия на PHP. Ако за работа на плъгина е необходима по-нова версия на PHP, системата автоматично ще блокира активирането на този плъгин;
• Добавена е поддръжка за активиране на модули с JavaScript код с използването на webpack и Babel;
• Добавен е нов шаблон privacy-policy.php, позволяващ настройка на съдържанието на страницата с условия за конфиденциалност;
• За темите на оформление е добавен обработчик wp_body_open hook, позволяващ вмъкване на код непосредствено след тагa body;
• Изискванията за минималната версия на PHP са повишени до 5.6.20, в плъгините и темите на оформление е добавена възможност за използване на пространства от имена и анонимни функции;
• Добавени са 13 нови пиктограми.

Допълнително може да се спомене откритие критична уязвимост в плъгин за WordPress WP Live Chat (CVE-2019-11185). Уязвимостта позволява изпълнение на произволен PHP код на сървъра. Плъгинът се използва на повече от 27 хиляди сайта за организиране на интерактивен чат с посетителите, включително на сайтове на компании като IKEA, Adobe, Huawei, PayPal, Tele2 и McDonald's (Live Chat често се използва за реализиране на изскачащи дразнещи чатове на сайтове, които предлагат общуване със служител).

Проблемът се проявява в кода за качване на файлове на сървъра и позволява заобикаляне на проверката за допустими типове файлове и качване на PHP скрипт на сървера, след което да бъде изпълнен директно чрез web. Интересно е, че миналата година в Live Chat е била открита подобна уязвимост (CVE-2018-12426), която позволяваше качване на PHP код под формата на изображение, указвайки различен тип съдържание в полето Content-type. В рамките на поправката на проблема са добавени допълнителни проверки с бели списъци и MIME типове за съдържание. Както се оказа, тези проверки са реализирани неправилно и могат лесно да бъдат заобиколени.

В частност, директното качване на файлове с разширение ‘.php’ е забранено, но разширението ‘.phtml’, свързано с интерпретатора PHP, не е добавено в черния списък. Белият списък допуска само качване на изображения, но може да бъде заобиколен, указвайки двойно разширение, например ‘.gif.phtml’. За да се заобиколи проверката на MIME типа в началото на файла, преди да бъде отворен тагът с PHP кода, е достатъчно да бъде указана стринга ‘GIF89a’.

Източник: opennet.ru