„WordPress“ papildinys, pavadintas „ThemeGrill Demo Importer“, įsilaužėliams atskleidė 200 000 svetainių

Turinio valdymo sistemos (CMS), tokios kaip „WordPress“, visiškai pakeitė svetainės kūrimo ir priežiūros procesą. Šiuo metu sukurti svetainę gali būti taip paprasta, kaip nustatyti „WordPress“ diegimą ir pridėti šiek tiek turinio. Žmonės, kurie kadaise parašė visas svetaines nuo nulio, dabar kuria CMS temas ir papildinius, kurie padeda jums patobulinti ir pritaikyti jūsų pačių svetainę ne daugiau kaip keliais pelės paspaudimais. Tai daug patogiau ir, dar svarbiau, gana šiek tiek pigiau, nei buvo anksčiau. Vis dėlto yra kompromisas.

Žmonės, rašantys temas ir papildinius tokioms platformoms kaip „WordPress“, vis kartoja klaidas, o kai tai daro, klaidos neturi įtakos tik vienai svetainei. Viena klaida gali sukelti problemų tūkstančiams svetainių, o jei problema susijusi su saugumu, pasekmės gali būti gana pražūtingos. Neseniai „WordPress“ „ThemeGrill Demo Importer“ papildinio aptiktas pažeidžiamumas parodė mums, kokie blogi dalykai gali būti.

„ThemeGrill“ paliko klaidą, kuri įsilaužėliams galėjo leisti sunaikinti visas svetaines

„ThemeGrill“ kuria „WordPress“ aukščiausios kokybės temas, taip pat siūlo papildinį, pavadintą „ThemeGrill Demo Importer“, kuris leidžia administratoriams lengvai importuoti temas ir parametrus tiesiai į savo svetaines. Jei turite „WordPress“ pagrįstą svetainę ir naudojate „ThemeGrill Demo Importer“, turite įsitikinti, kad papildinys atnaujintas į naujausią versiją. „WebARX“ tyrėjai išsiaiškino, kad visiems įskiepiams tarp „ThemeGrill Demo Importer 1.3.4“ ir „ThemeGrill Demo Importer 1.6.1“ yra paveiktas kritinis saugumo pažeidžiamumas, kuris įsilaužėliams gali leisti visiškai sunaikinti.

Problema kyla dėl funkcijos, vadinamos reset_wizard_actions, kuri įkeliama, kai papildinys aptinka aktyvią „ThemeGrill“ temą. Funkcija yra prijungiama prie admin_init, kuri paprastai veikia tik administratoriaus aplinkoje. Tačiau jis taip pat gali skambinti į /wp-admin/admin-ajax.php, o tyrėjai atrado, kad sąveikaudami su šiuo failu reset_wizard_actions netikrina, ar vartotojo autentifikacija nėra nustatyta.

Naudodami kruopščiai pagamintus naudingus krovinius, įsilaužėliai gali arba sunaikinti visą pažeidžiamos svetainės turinį, arba jie gali prisiimti administracines teises ir daryti su ja daugiau ar mažiau, ką tik nori.

„ThemeGrill“ pataisė papildinį

„WebARX“ ataskaita rodo, kad problemos atskleidimas ir pagalba taisant nebuvo pati sklandžiausia patirtis, tačiau turėtume pabrėžti, kad matėme kur kas blogiau. Pirmąjį pranešimą tyrėjai atsiuntė vasario 6 d., Penkias dienas negavę atsakymų, jie bandė dar kartą susisiekti su „ThemeGrill“. Vasario 14 d. Kūrėjas galutinai atsakė ir per dvi dienas buvo išleista nauja versija, kurioje nagrinėjama problema.

Tai, kad pažeidžiamumas yra pataisytas, yra gera žinia, tačiau tai tik pusė istorijos. „ThemeGrill“ demonstracinio importuotojo 1.3.4 versija, kuri pristatė klaidą, prieš trejus metus buvo išleista didžiulė, ir buvo atskleista kiekviena svetainė, kuri naudojo papildinį nuo tada iki sekmadienio, kai buvo išleistas pataisas. Nors nėra jokių įrodymų apie išnaudojimą gamtoje, daugelis iš 200 tūkstančių svetainių, kuriose yra įdiegta „ThemeGrill Demo Importer“, vis dar naudoja pažeidžiamas įskiepio versijas, o tai reiškia, kad pažeidžiamumo aukas mes galime pamatyti labai greitai.

Čia slypi didžiulė problema. „W3Techs“ duomenimis, „WordPress“ valdo daugiau nei 35% visų svetainių visame pasaulyje. CMS palaiko visa ekosistema, ir milijonai žmonių ja naudojasi, nes su ja palaikyti svetainę yra taip paprasta, kaip ji tampa. Deja, patirtis išmokė mus, kad saugumo atnaujinimai ir pataisos nėra labai svarbūs daugelyje šių žmonių prioritetų sąrašų. Jei internetas taps saugesne vieta, tai turi pasikeisti.