人気のあるコンテンツ管理システムWordPressには危険な弱点があり、リモートの攻撃者がリモートコードを簡単に実行できることがわかっています。. バグの公開発表は、脆弱性が過去に存在したことを示しています 6 何年もの間、サイトがそれを介してアクセスされている可能性が非常に高いです. 基本的に、低特権のアカウントがメインエンジンで見つかった2つの脆弱性を使用してコードを実行できるようにします.
CVE-2019-6977: 最新のWordPressは、犯罪者がリモートコードを実行することを許可しています 6 年
WordPressサイトの所有者は、インストールを利用可能な最新バージョンにすぐにパッチする必要があります (5.0.3) 発表されたばかりの危険なリモートコード実行の脆弱性から身を守るため. 公示は、セキュリティチームから届きました。 RIPS Technologies GmbH コンテンツ管理システム内で見つかった危険なバグを明らかにしました. これにより、コンピューターハッカーは、サイトに低特権のアカウントを持っているだけで、オンラインインストールを効果的に悪用できます。. これは、2つの異なるバグタイプを悪用するために使用されます— パストラバーサル と ローカルファイルインクルード これは WordPressコアエンジン内にあります. これ 誤って処理するプラグインにも影響します 投稿メタ 値.
Post Meta値はサーバーにアップロードされたファイルへの内部参照であり、WordPressデータベースにも記録されているため、この問題はかなり危険です。. セキュリティ調査により、脆弱なWordPressバージョンでは、コードインジェクションを使用してこの値を変更できることが明らかになりました. 事実上、これは、Webサーバーにアクセスできるコンピューター犯罪者が、変更されたコンテンツをアップロードして、システムを悪用できることを意味します。. CVE-2019-6977識別子の問題を追跡するために、公安勧告が割り当てられました. その内容は次のとおりです:
GDグラフィックライブラリのgd_color_match.cのgdImageColorMatch (別名LibGD) 2.2.5, 以前にPHPのimagecolormatch関数で使用されていたように 5.6.40, 7.x前 7.1.26, 7.2.x前 7.2.14, および以前の7.3.x 7.3.1, ヒープベースのバッファオーバーフローがあります. これは、細工された画像データを使用してimagecolormatch呼び出しをトリガーできる攻撃者によって悪用される可能性があります.
WordPressの最新バージョンでは、Post Metaエントリの弱点が修正されていますが、サードパーティのプラグインの誤った動作によってパストラバーサルの欠陥が悪用される可能性があります。. WordPressセキュリティチームは、次のリリースで完全な弱点に対処します. それまでは、すべてのサイト所有者は、利用可能なすべてのセキュリティ更新プログラムを適用するように求められます —コアエンジンとすべてのプラグインおよびテーマの両方.
マーティン・ベルトフ
マーティンはソフィア大学で出版の学位を取得して卒業しました. サイバーセキュリティ愛好家として、彼は侵入の最新の脅威とメカニズムについて書くことを楽しんでいます.
フォローしてください: