Saugumo tyrinėtojai iš „Wordfence“ ir „WebARX“ nustatė keletą pavojingų pažeidžiamumų penkiuose „WordPress“ žiniatinklio turinio valdymo sistemos papildiniuose, iš viso įdiegta daugiau nei milijonas.
- įskiepyje , kuriame įdiegta daugiau nei 700 tūkst. Problemos sunkumo lygis įvertintas 9 iš 10 (CVSS). Pažeidžiamumas leidžia autentifikuotam vartotojui, turinčiam prenumeratos teises, ištrinti arba paslėpti (pakeisti būseną į nepaskelbtą juodraštį) bet kurį svetainės puslapį, taip pat pakeisti savo turinį puslapiuose.
Pažeidžiamumas 1.8.3 laidoje. - įskiepyje , skaičiuojant daugiau nei 200 tūkstančių instaliacijų (buvo užfiksuotos tikros atakos svetainėse, kurioms prasidėjus ir pasirodžius duomenims apie pažeidžiamumą, instaliacijų skaičius jau sumažėjo iki 100 tūkst.). Dėl pažeidžiamumo neautentifikuotas lankytojas gali išvalyti svetainės duomenų bazės turinį ir iš naujo nustatyti duomenų bazę į naujos diegimo būseną. Jei duomenų bazėje yra vartotojas, vardu administratorius, pažeidžiamumas taip pat leidžia visiškai valdyti svetainę. Pažeidžiamumas atsirado dėl to, kad nepavyko autentifikuoti vartotojo, bandančio išduoti privilegijuotas komandas per scenarijų /wp-admin/admin-ajax.php. Problema išspręsta 1.6.2 versijoje.
- įskiepyje , naudojamas 44 tūkst. svetainių. Problemai priskirtas 9.8 iš 10 sunkumo lygis. Dėl pažeidžiamumo neautentifikuotas vartotojas gali vykdyti savo PHP kodą serveryje ir pakeisti svetainės administratoriaus paskyrą siunčiant specialią užklausą per REST-API.
Pažeidžiamumo išnaudojimo atvejai jau buvo užfiksuoti tinkle, tačiau naujinimas su pataisymu dar nepasiekiamas. Vartotojams patariama kuo greičiau pašalinti šį papildinį. - įskiepyje 60 tūkstančių įrenginių. Problemai buvo priskirtas 8.8 iš 10 sunkumo lygis. Dėl pažeidžiamumo bet kuris autentiškas lankytojas, įskaitant turinčius abonento teises, gali perduoti savo teises svetainės administratoriui arba gauti prieigą prie wpCentral valdymo skydelio. Problema išspręsta 1.5.1 versijoje.
- įskiepyje , su maždaug 65 tūkst. Problemai priskiriamas 10 iš 10 rimtumo lygis. Pažeidžiamumas leidžia neautentifikuotam vartotojui susikurti paskyrą su administratoriaus teisėmis (įskiepis leidžia kurti registracijos formas ir vartotojas gali tiesiog perduoti papildomą lauką su vartotojo vaidmeniu, priskiriant tai administratoriaus lygis). Problema išspręsta 3.1.1 versijoje.
Be to, galima pažymėti tinklai, skirti platinti Trojos arklys ir „WordPress“ temas. Užpuolikai įdėjo piratines mokamų įskiepių kopijas į fiktyvias katalogų svetaines, prieš tai į jas integravę užpakalines duris, kad gautų nuotolinę prieigą ir atsisiųstų komandas iš valdymo serverio. Suaktyvintas kenkėjiškas kodas buvo naudojamas įterpti kenkėjišką ar apgaulingą reklamą (pavyzdžiui, įspėjimus apie būtinybę įdiegti antivirusinę ar atnaujinti naršyklę), taip pat optimizuoti paieškos sistemas, reklamuoti svetaines, platinančias kenkėjiškus įskiepius. Pirminiais duomenimis, naudojant šiuos papildinius buvo pažeista daugiau nei 20 tūkst. Tarp aukų buvo decentralizuota kasybos platforma, prekybos įmonė, bankas, kelios didelės įmonės, atsiskaitymo kredito kortelėmis sprendimų kūrėjas, IT įmonės ir kt.
Šaltinis: opennet.ru