مجله تودی : افزونه امنیتی WordPress کشف شد که دارای دو آسیب‌پذیری است که می‌تواند امکان آپلود مخرب، اسکریپت بین سایتی و امکان مشاهده محتوای فایل‌های دلخواه را فراهم کند.
افزونه وردپرس امنیت All-In-One (AIOS)
افزونه وردپرس All-In-One Security (AIOS) که توسط ناشران UpdraftPlus ارائه شده است، عملکرد امنیتی و فایروال را ارائه می دهد که برای قفل کردن هکرها طراحی شده است.
این سیستم حفاظت امنیتی ورود به سیستم را ارائه می‌کند که مهاجمان را قفل می‌کند، محافظت از سرقت ادبی، مسدود کردن لینک‌ها، مسدود کردن هرزنامه‌ها و فایروالی که به عنوان دفاعی در برابر تهدیدات هک عمل می‌کند.
این افزونه همچنین با هشدار دادن به کاربران در مورد اشتباهات رایج مانند استفاده از نام کاربری “admin”، امنیت پیشگیرانه را اعمال می کند.
این یک مجموعه امنیتی جامع است که توسط سازندگان Updraft Plus، یکی از قابل اعتمادترین ناشران افزونه وردپرس، پشتیبانی می‌شود.
این ویژگی ها AIOS را با بیش از یک میلیون نصب وردپرس بسیار محبوب کرده است.
دو آسیب پذیری
پایگاه داده ملی آسیب پذیری دولت ایالات متحده (NVD) یک جفت هشدار درباره دو آسیب پذیری منتشر کرد.
1. خرابی در پاکسازی داده ها
اولین آسیب‌پذیری به دلیل خرابی پاکسازی داده‌ها، به‌ویژه شکست در فرار از فایل‌های گزارش است.
فرار از داده یک فرآیند امنیتی اساسی است که هرگونه داده حساس را از خروجی های تولید شده توسط یک افزونه حذف می کند.
وردپرس حتی یک صفحه توسعه دهنده دارد که به این موضوع اختصاص داده شده است، با نمونه هایی از نحوه انجام آن و زمان انجام آن.
صفحه توسعه دهنده وردپرس در مورد خروجی های فرار توضیح می دهد:
خروجی فرار فرآیند ایمن سازی داده های خروجی با حذف داده های ناخواسته، مانند HTML نادرست یا تگ های اسکریپت است.
این فرآیند به امنیت داده‌های شما قبل از ارائه آن برای کاربر نهایی کمک می‌کند.»
NVD این آسیب پذیری را شرح می دهد:
افزونه All-In-One Security (AIOS) وردپرس قبل از 5.1.5 از محتوای فایل های گزارش قبل از خروجی آن به صفحه مدیریت افزونه فرار نمی کند و به کاربر مجاز (admin+) اجازه می دهد تا فایل های لاگ جعلی حاوی کد مخرب جاوا اسکریپت را نصب کند. که در زمینه هر مدیری که از این صفحه بازدید می کند اجرا می شود.
2. آسیب پذیری پیمایش دایرکتوری
به نظر می رسد آسیب پذیری دوم یک آسیب پذیری Path Traversal باشد.
این آسیب‌پذیری به مهاجم اجازه می‌دهد از یک نقص امنیتی برای دسترسی به فایل‌هایی که معمولاً در دسترس نیستند، سوء استفاده کند.
پروژه غیرانتفاعی Open Worldwide Application Security Project (OWASP) هشدار می دهد که یک حمله موفقیت آمیز می تواند فایل های مهم سیستم را به خطر بیندازد.
هدف یک حمله پیمایش مسیر (که به عنوان پیمایش دایرکتوری نیز شناخته می‌شود) دسترسی به فایل‌ها و دایرکتوری‌هایی است که خارج از پوشه ریشه وب ذخیره می‌شوند.
با دستکاری متغیرهایی که به فایل‌ها با دنباله‌های «نقطه-نقطه-اسلش (../)» و تغییرات آن ارجاع می‌دهند یا با استفاده از مسیرهای فایل مطلق، ممکن است بتوان به فایل‌ها و فهرست‌های دلخواه ذخیره شده در سیستم فایل از جمله منبع برنامه دسترسی داشت. کد یا پیکربندی و فایل های سیستم حیاتی.”
NVD این آسیب‌پذیری را شرح می‌دهد:
افزونه All-In-One Security (AIOS) وردپرس قبل از نسخه 5.1.5 محدودیتی برای نمایش فایل‌های گزارش در صفحات تنظیمات آن ندارد و به کاربر مجاز (admin+) اجازه می‌دهد محتویات فایل‌های دلخواه را مشاهده کند و فهرست دایرکتوری‌ها را در هر نقطه از سرور (که وب سرور به آن دسترسی دارد).
این افزونه فقط 50 خط آخر فایل را نمایش می دهد.”
هر دو آسیب‌پذیری مستلزم آن هستند که مهاجم برای سوءاستفاده از حمله، اعتبارنامه‌های سطح مدیریت را به دست آورد، که ممکن است انجام حمله را سخت‌تر کند.
با این حال، انتظار می رود که یک افزونه امنیتی این نوع آسیب پذیری های قابل پیشگیری را نداشته باشد.
به روز رسانی افزونه AIOS WordPress را در نظر بگیرید
AIOS یک پچ در نسخه 5.1.6 این افزونه منتشر کرد. کاربران ممکن است بخواهند حداقل به نسخه 5.1.6 و احتمالاً به آخرین نسخه، 5.1.7 به روز رسانی کنند، که خرابی هایی را که در هنگام تنظیم نشدن فایروال رخ می دهد برطرف می کند.
