De populaire content management systeem WordPress is gevonden om een gevaarlijke zwakte waardoor externe aanvallers op afstand code eenvoudig uit te voeren bevatten. De openbare aankondiging van de bug laat zien dat de kwetsbaarheid heeft bestaan in het verleden 6 jaar en het is heel goed mogelijk dat sites zijn toegankelijk via deze. In principe is het mogelijk met weinig rechten accounts om code uit te voeren met behulp van twee kwetsbaarheid gevonden met de hoofdmotor.
CVE-2019-6977: De nieuwste WordPress heeft toegestaan criminelen om op afstand code uit te voeren voor 6 jaren
WordPress site-eigenaren moeten onmiddellijk hun installaties patchen naar de meest recente versie (5.0.3) om zichzelf te beschermen tegen een gevaarlijke kwetsbaarheid uitvoering van externe code die net werd aangekondigd. De publieke aankondiging kwam in de security team op RIPS Technologies GmbH dat bleek een gevaarlijke bug gevonden binnen het content management systeem. Het maakt het mogelijk effectief computer hackers om de online-installaties te benutten door alleen maar met een lage-account met privileges op de site. Het wordt gebruikt om twee verschillende soorten bug te exploiteren - path Traversal en Local File Inclusion welke zijn gevonden binnen de WordPress kern motor. Deze ook van invloed op elke plugins die verkeerd bedient Bericht meta waarden.
Dit probleem is vrij gevaarlijk als de Post Meta waarden zijn interne verwijzingen naar bestanden te uploaden in de server, die ook zijn opgenomen in de WordPress databases. De security onderzoek blijkt de kwetsbare WordPress versies staan voor deze waarde te worden gewijzigd door middel van code-injectie. Effectief betekent dit dat de computer criminelen die toegang hebben tot de webserver kan gewijzigde inhoud te uploaden en dus gebruik maken van de systeem. Een openbare beveiligingsadvies is toegewezen aan de verlening van de CVE-2019-6977 identifier. De inhoud ervan leest de volgende:
gdImageColorMatch in gd_color_match.c in de GD Graphics Library (aka libgd) 2.2.5, zoals gebruikt in de imagecolormatch functie in PHP voor 5.6.40, 7.x vóór 7.1.26, 7.2.x vóór 7.2.14, en 7.3.x voor 7.3.1, een heap overflow. Dit kan worden misbruikt door een aanvaller die in staat is om imagecolormatch triggeren gesprekken met bewerkte beeldgegevens.
De nieuwste versie van de WordPress fixeert de Post Meta inzendingen zwakte echter het pad Traversal fout kan nog steeds worden uitgebuit door onjuiste gedrag van derden plugins. De WordPress security team zal de volledige zwakte in de volgende release aan te pakken. Tot die tijd alle site-eigenaren worden aangespoord om alle beschikbare beveiligingsupdates toe te passen - zowel voor de kern motor en alle plugins en thema's.
Martin Beltov
Martin studeerde af met een graad in de uitgeverij van de universiteit van Sofia. Als een cyber security enthousiast dat hij geniet van het schrijven over de nieuwste bedreigingen en de mechanismen van inbraak.
Volg mij: