שחרור וורדפרס 5.2 עם תמיכה בבדיקת עדכונים באמצעות חתימה דיגיטלית

שהוגש על ידי שחרור מערכת ניהול תוכן אינטרנט וורדפרס 5.2. המהדורה בולטת בהשלמתה אפוס של שש שנים על היישום הזדמנויות בדיקת עדכונים ותוספות באמצעות חתימה דיגיטלית.

עד כה, בעת התקנת עדכונים בוורדפרס, גורם האבטחה העיקרי היה אמון בתשתית ושרתים של וורדפרס (לאחר ההורדה נבדק ה-hash ללא אימות המקור). אם שרתי הפרויקט נפגעו, התוקפים הצליחו לזייף עדכון ולהפיץ קוד זדוני בין אתרים מבוססי וורדפרס המשתמשים במערכת התקנת עדכונים אוטומטית. בהתאם למודל מסירת האמון שנעשה בו שימוש בעבר, החלפה כזו הייתה נעלמת מעיניהם של המשתמשים.

בהתחשב בעובדה ש על פי מפרויקט w3techs, פלטפורמת וורדפרס נמצאת בשימוש ב-33.8% מהאתרים ברשת, התקרית הייתה מקבלת קנה מידה של אסון. יחד עם זאת, הסכנה של פגיעה בתשתית לא הייתה היפותטית, אלא ממשית למדי. למשל, לפני מספר שנים אחד מחוקרי האבטחה הפגין פגיעות שאפשרה לתוקף לבצע את הקוד שלו בצד השרת של api.wordpress.org.

במקרה של חתימות דיגיטליות, השגת שליטה על שרת הפצת העדכונים לא תוביל לפגיעה במערכות המשתמשים, שכן כדי לבצע תקיפה, תצטרכו בנוסף לקבל מפתח פרטי מאוחסן בנפרד, איתו נחתמים עדכונים.

יישום בדיקת מקור העדכונים באמצעות חתימה דיגיטלית נבלם בשל העובדה שתמיכה באלגוריתמים ההצפנה הדרושים הופיעה בחבילת PHP הסטנדרטית לאחרונה יחסית. האלגוריתמים ההצפנים הדרושים הופיעו הודות לאינטגרציה של הספרייה ליבסודיום לצוות הראשי PHP 7.2. אבל בתור הגרסה המינימלית הנתמכת של PHP בוורדפרס נָקוּב גרסה 5.2.4 (מ-WordPress 5.2 - 5.6.20). הפעלת תמיכה בחתימות דיגיטליות תוביל לעלייה משמעותית בדרישות לגרסה המינימלית הנתמכת של PHP או להוספת תלות חיצונית, מה שמפתחים לא יכלו לעשות בהתחשב בשכיחותן של גרסאות PHP במערכות אירוח.

הפתרון היה התפתחות והכללת גרסה קומפקטית של Libsodium בוורדפרס 5.2 - Sodium Compat, שבו מערכת מינימלית של אלגוריתמים לאימות חתימות דיגיטליות מיושמת ב-PHP. היישום משאיר הרבה מה לרצות מבחינת ביצועים, אבל פותר לחלוטין את בעיית התאימות, וגם מאפשר למפתחי תוספים להתחיל ליישם אלגוריתמים קריפטוגרפיים מודרניים.

אלגוריתם משמש ליצירת חתימות דיגיטליות Ed25519, פותח בהשתתפות דניאל ג'יי ברנשטיין. נוצרת חתימה דיגיטלית עבור ערך הגיבוב SHA384 המחושב מתוכן ארכיון העדכונים. ל-Ed25519 רמת אבטחה גבוהה יותר מ-ECDSA ו-DSA, והוא מפגין מהירות גבוהה מאוד של אימות ויצירת חתימות. ההתנגדות לפריצה עבור Ed25519 היא בערך 2^128 (בממוצע, התקפה על Ed25519 תדרוש פעולות של 2^140 סיביות), מה שמתאים להתנגדות של אלגוריתמים כגון NIST P-256 ו-RSA עם גודל מפתח של 3000 סיביות או צופן בלוק של 128 סיביות. Ed25519 גם אינו רגיש לבעיות בהתנגשויות חשיש, ואינו רגיש להתקפות תזמון מטמון או התקפות ערוץ צדדי.

במהדורת וורדפרס 5.2, אימות חתימה דיגיטלית מכסה כרגע רק עדכוני פלטפורמה גדולים ואינו חוסם את העדכון כברירת מחדל, אלא רק מודיע למשתמש על הבעיה. הוחלט שלא לאפשר את חסימת ברירת המחדל באופן מיידי בשל הצורך בבדיקה ובעקיפה מלאה בעיות אפשריות. בעתיד, מתוכנן גם להוסיף אימות חתימה דיגיטלית כדי לוודא את מקור ההתקנה של ערכות נושא ותוספים (יצרנים יוכלו לחתום על מהדורות עם המפתח שלהם).

בנוסף לתמיכה בחתימות דיגיטליות בוורדפרס 5.2, ניתן לציין את השינויים הבאים:

• שני דפים חדשים נוספו לסעיף "תקינות האתר" לאיתור בעיות תצורה נפוצות, וכן סופק טופס שדרכו מפתחים יכולים להשאיר מידע על ניפוי באגים למנהלי האתר;
• הוספת יישום של "מסך המוות הלבן", המוצג במקרה של בעיות קטלניות ועוזר למנהל לתקן באופן עצמאי בעיות הקשורות לתוספים או ערכות נושא על ידי מעבר למצב מיוחד של התאוששות קריסה;
• הוטמעה מערכת לבדיקת תאימות עם פלאגינים, הבודקת אוטומטית את אפשרות השימוש בתוסף בתצורה הנוכחית, תוך התחשבות בגרסת ה-PHP בה נעשה שימוש. אם תוסף דורש גרסה חדשה יותר של PHP כדי לעבוד, המערכת תחסום אוטומטית את הכללת הפלאגין הזה;
• נוספה תמיכה להפעלת מודולים עם קוד JavaScript באמצעות webpack и בבל;
• נוספה תבנית privacy-policy.php חדשה המאפשרת לך להתאים אישית את התוכן של עמוד מדיניות הפרטיות;
• עבור ערכות נושא, נוסף מטפל wp_body_open hook, המאפשר לך להכניס קוד מיד לאחר תג ה-body;
• הדרישות לגרסה המינימלית של PHP הועלו ל-5.6.20; תוספים וערכות נושא יש כעת את היכולת להשתמש במרחבי שמות ופונקציות אנונימיות;
• נוספו 13 אייקונים חדשים.

בנוסף, אתה יכול להזכיר זיהוי פגיעות קריטית בתוסף וורדפרס WP צ'אט חי (CVE-2019-11185). הפגיעות מאפשרת להפעיל קוד PHP שרירותי בשרת. התוסף משמש ביותר מ-27 אלף אתרים לארגון צ'אט אינטראקטיבי עם מבקר, כולל באתרים של חברות כמו איקאה, אדובי, Huawei, PayPal, טל2 ומקדונלד'ס (לייב צ'אט משמש לעתים קרובות ליישום פופ-אפ מעצבן צ'אטים באתרי החברה עם הצעות צ'אט עם העובד).

הבעיה מתבטאת בקוד להעלאת קבצים לשרת ומאפשרת לעקוף את בדיקת סוגי הקבצים התקפים ולהעלות סקריפט PHP לשרת, ולאחר מכן לבצע אותו ישירות דרך האינטרנט. מעניין לציין שבשנה שעברה כבר זוהתה פגיעות דומה ב-Live Chat (CVE-2018-12426), שאפשרה טעינת קוד PHP במסווה של תמונה, תוך ציון סוג תוכן אחר בשדה Content-type. כחלק מהתיקון, נוספו בדיקות נוספות עבור רשימות הלבנים וסוג תוכן MIME. כפי שמתברר, בדיקות אלו מיושמות בצורה לא נכונה וניתן לעקוף אותן בקלות.

בפרט, העלאה ישירה של קבצים עם סיומת ".php" אסורה, אך סיומת ".phtml", המשויכת למתורגמן PHP בשרתים רבים, לא נוספה לרשימה השחורה. הרשימה הלבנה מאפשרת העלאת תמונות בלבד, אבל אתה יכול לעקוף אותה על ידי ציון סיומת כפולה, למשל, ".gif.phtml". כדי לעקוף את בדיקת סוג MIME בתחילת הקובץ, לפני פתיחת התג עם קוד PHP, זה היה מספיק לציין את השורה "GIF89a".

מקור: OpenNet.ru