WordPress
V renomovanej platforme pre správu osobných blogov a vytváraní webových stránok: WordPress sa našla chyba zabezpečenia pomocou príkazu. Zistilo sa, že chyba zabezpečení existuje v komponente Plainview Activity Monitor WordPress Plugin a bol jej pridelený identifikátor CVE CVE-2018-15877.
Zraniteľnosť spojenia s príkazom nájdená v doplnku Plainview Activity Monitor pre WordPress ju vystavuje vážnemu riziku, že sa stane vzdialeným útočníkom vzdialeným vykonávaním príkazov v napadnutom systéme. Injikované škodlivé príkazy vrhajú nevhodné údaje do toku služby, najmä prostredníctvom parametra IP a do activities_overview.php.
Táto chyba zabezpečenia injekcie príkazu v uvedenom komponente nie je sama osebe vzdialene využiteľná. Rovnaký doplnkový komponent na serveri WordPress bohužiaľ trpí dvoma ďalšími chybami zabezpečenia: chybou útoku CSRF a chybou skriptovania medzi servermi. Keď všetky tri tieto chyby zabezpečenia spolupracujú na spoločnom zneužití, útočník dokáže na diaľku vykonať príkazy v systéme iného používateľa a poskytnúť tak neoprávnený a neoprávnený prístup k súkromným údajom používateľa.
Podľa skúmaných podrobností zverejnených WordPressom bola zraniteľnosť prvýkrát objavená 25. dňathaugusta tohto roku. Ešte v ten istý deň bol požiadaný o štítok s identifikátorom CVE a nasledujúci deň bola chyba nahlásená na WordPress ako súčasť oznámenia povinného dodávateľa. WordPress rýchlo postavil na nohy novú verziu doplnku komponentu, verziu 20180826. Očakáva sa, že táto nová verzia vyrieši chybu zabezpečenia, ktorá sa zistila vo verziách 20161228 a starších doplnkoch Plainview Activity Monitor.
Táto chyba bola dôkladne prediskutovaná a popísaná v príspevku dňa GitHub kde je tiež poskytnutý dôkaz o koncepcii pre potenciálne korelované využitie. Používatelia WordPress sa vyzývajú, aby v záujme zmiernenia týchto rizík aktualizovali svoje systémy tak, aby sa v ich systémoch používala najnovšia verzia doplnku Plainview Activity Monitor.
Značky WordPress
