A WordPress eklentisi 4 milyondan fazla web sitesine yüklenen bu yazılım, potansiyel olarak birden fazla siteye karşı büyük ölçekli otomatik saldırılar başlatmak için kullanılabilecek bir komut dosyası hatası nedeniyle onları tamamen idari olarak ele geçirmeye maruz bırakıyor.
Wordfence’ten araştırmacılar, kimlik doğrulama atlama kusurunu şimdiye kadar belirledikleri “en ciddi güvenlik açıklarından biri” olarak nitelendirdi. onu ortaya çıkarmak bu ayın başlarında bir eklenti Yakın tarihli bir blog gönderisine göre, siteler için WordPress güvenlik özellikleri sağlayan Gerçekten Basit Güvenlik’ten. Kritik CVSS puanı 9,8 olan kusur, Real Simple Security Pro ve Pro Multisite eklentilerinin 9.0.0 ile 9.1.1.1 arasındaki sürümlerini etkiliyor.
Wordfence güvenlik araştırmacısı Istvan Marton, gönderisinde “Güvenlik açığı, bir saldırganın, iki faktörlü kimlik doğrulama (2FA) özelliği etkinleştirildiğinde yönetici hesabı da dahil olmak üzere sitedeki herhangi bir hesaba uzaktan erişmesini mümkün kılıyor” diye yazdı.
Wordfence’e göre kusur, “check_login_and_get_user” işleviyle iki faktörlü REST API eylemlerinde hatalı kullanıcı kontrolü hatasının işlenmesi nedeniyle ortaya çıkıyor. Üstelik kusur komut dosyasıyla yazılabilir olduğundan, silah haline getirilebilir Çok sayıda WordPress sitesine aynı anda otomatik bir şekilde karşı.
Hatanın kritik doğası nedeniyle Wordfence, 6 Kasım’da açığı keşfettikten sonra hızlı bir şekilde harekete geçerek sorunu hafifletmek için Gerçekten Basit Güvenlik ekibiyle birlikte çalıştı. Kusurun satıcıya derhal açıklanmasının ardından, 12 Kasım’da yamalı bir güncelleme olan 9.1.2 sürümü halka açık olarak yayınlandı. Daha sonra, Wordfence’in tavsiyesi üzerine, Gerçekten Basit Güvenlik iki gün sonra eklentiyi çalıştıran tüm siteleri zorunlu olarak güncelledi.
Yine de Wordfence, eklentiyi kullanan bir siteye sahip herhangi bir yöneticinin, sitenin yamalı sürüme otomatik olarak güncellendiğini onaylamasını tavsiye etti, çünkü Marton, “geçerli bir lisansa sahip olmayan sitelerde otomatik güncelleme işlevi olmayabilir” dedi. yazı.
Yeni ‘Gerçekten Basit Güvenlik’ Özelliği Kusur Getiriyor
Gerçekten Basit Güvenlik eklentisi daha önce Gerçekten Basit SSL olarak biliniyordu; eklentiyi oturum açma koruması, güvenlik açığı tespiti ve 2FA gibi güvenlik özellikleriyle genişleten en son ana sürüm güncellemesinde yeniden adlandırıldı.
Bu yenileme sırasında, 2FA’yı ekleyen özelliklerden biri, bir saldırganın 2FA açık olan herhangi bir kullanıcı hesabına erişim kazanmak için basit bir istek oluşturmasına olanak tanıyan kusuru ortaya çıkarmak için “güvensiz bir şekilde uygulandı”.
Özellikle eklenti, bir arıza durumunda WP_REST_Response hatası döndüren REST API aracılığıyla kimlik doğrulamayı gerçekleştirmek için Rsssl_Two_Factor_On_Board_Api sınıfındaki skip_onboarding() işlevini kullanır. Ancak Marton, bunun fonksiyon içinde ele alınmadığını, bunun da “geçersiz bir tekrarlama durumunda bile, fonksiyon işlemenin devam ettiği ve Authenticate_and_redirect()’ı çağırdığı anlamına geldiğini” yazdı. Bu, “kullanıcının kimliği doğrulanmamış olsa bile, istekte iletilen kullanıcı kimliğine göre kullanıcının kimliğini doğrular” diye yazdı.
Sonuçta bu, tehdit aktörlerinin kimlik doğrulamayı atlamasına ve eklentinin savunmasız bir sürümünü çalıştıran sitelerdeki rastgele hesaplara erişmesine olanak tanır.
Marton, “Her zaman olduğu gibi, kimlik doğrulamanın güvenlik açıklarını atlaması ve bunun sonucunda yüksek ayrıcalıklı kullanıcı hesaplarına erişim, tehdit aktörlerinin savunmasız bir WordPress sitesini tamamen tehlikeye atmasını ve siteye daha fazla virüs bulaştırmasını kolaylaştırıyor” dedi.
Wordfence: Duyuru Yapın, Eklentilerinizi Kontrol Edin
Milyonlarca web sitesine temel olarak yaygın kullanımı nedeniyle, WordPress platformu ve eklentileri özellikle meşhurdur popüler tehdit hedefi Tehdit aktörleri için geniş bir saldırı yüzeyine kolay erişim sağlar. Saldırganlar özellikle istismar etmeyi sever tekil eklentiler Geniş kurulum tabanlarıyla, Gerçekten Basit Güvenlik eklentisinde bulunanlara benzer kusurları çekici bir hedef haline getiriyor.
Eklentiyi kullanan çoğu sitenin zaten güncellenmiş olması gerekse de Wordfence, kusurun kritik doğasından dolayı mümkün olan en geniş yama kapsamını sağlamak için kullanıcıların bunu yaymalarını tavsiye ediyor.
Marton, gönderisinde şunları yazdı: “Sitesinde bu eklentileri kullanan birini tanıyorsanız, bu güvenlik açığı önemli bir risk oluşturduğundan, sitelerinin güvenli kalmasını sağlamak için bu uyarıyı onlarla paylaşmanızı öneririz.”