Den populære content management system WordPress har vist sig at indeholde en farlig svaghed tillader fjernangribere at nemt udføre fjernkørsel. Den offentlige meddelelse om fejlen viser, at sårbarheden har eksisteret i fortiden 6 år, og det er meget muligt, at websteder er blevet adgang til via det. Dybest set er det muligt lave-privilegerede konti for at eksekvere kode ved hjælp af to sårbarhed fundet med hovedmotoren.
CVE-2019-6977: De seneste WordPress Har tilladt kriminelle at Udfør Fjernbetjening Kode For 6 år
https://www.youtube.com/watch?v=iWeRbsrjUOA
WordPress webstedsejere bør straks lappe deres installationer til den nyeste tilgængelige version (5.0.3) med henblik på at beskytte sig mod en farlig fjernkørsel sårbarhed, som netop blev annonceret. Den offentlige meddelelse kom fra sikkerhed team på RIPS Technologies GmbH der afslørede en farlig fejl findes inden for content management system. Det gør det muligt effektivt at hackere at udnytte de online installationer ved blot at have en lav-privilegeret konto på sitet. Det bruges til at udnytte to forskellige bug typer - mappegennemløb og Lokal fil Inklusion som er findes inden for WordPress core engine. Dette påvirker også eventuelle plugins der fejlagtigt håndterer Indlæg meta værdier.
Dette spørgsmål er temmelig farlig som post Meta værdier er interne referencer til filer upload i serveren, som også er registreret i WordPress databaser. Sikkerheden undersøgelse afslører de sårbare WordPress versioner giver mulighed for denne værdi, der skal ændres ved hjælp af kode injektion. Effektivt betyder det, at it-kriminelle har adgang til webserveren kan uploade modificeret indhold og dermed udnytte systemet. En offentlig sikkerhed rådgivende er blevet tildelt til sporing af udlevering med CVE-2019-6977 identifikator. Dens indhold læser følgende:
gdImageColorMatch i gd_color_match.c i GD Graphics Library (aka LibGD) 2.2.5, som anvendt i imagecolormatch funktion i PHP før 5.6.40, 7.x før 7.1.26, 7.2.x før 7.2.14, og 7.3.x før 7.3.1, har en heapbaseret bufferoverløb. Dette kan udnyttes af en hacker, som er i stand til at udløse imagecolormatch opkald med udformet billeddata.
Den nyeste version af WordPress fikserer Post Meta oplysningerne svaghed dog mappegennemløb fejl kan stadig udnyttes af ukorrekt adfærd tredjemands plugins. WordPress sikkerhed team vil behandle den komplette svaghed i sin næste udgivelse. Indtil da alle webstedsejere opfordres til at anvende alle tilgængelige sikkerhedsopdateringer - både til kernen motor og alle plugins og temaer.
Martin Beltov
Martin dimitterede med en grad i Publishing fra Sofia Universitet. Som en cybersikkerhed entusiast han nyder at skrive om de nyeste trusler og mekanismer indbrud.
Følg mig: