Критическая уязвимость была обнаружена в популярном плагине безопасности WordPress, который был установлен более 4 миллионов раз. Уязвимость позволяет злоумышленникам войти в систему как любой пользователь, включая администраторов, и получить полный доступ к своим разрешениям на уровне сайта. Ему присвоен рейтинг угрозы 9,8 из 10, что подчеркивает простоту использования и возможность полной компрометации сайта, включая внедрение вредоносного ПО, несанкционированное изменение контента и атаки на посетителей сайта.
Действительно простая безопасность
Really Simple Security — это плагин WordPress, который был разработан для повышения устойчивости сайтов WordPress к эксплойтам (так называемое усиление безопасности), включения двухфакторной аутентификации, обнаружения уязвимостей, а также создания сертификата SSL. Одна из причин, по которой он позиционирует себя как легкий, заключается в том, что он спроектирован как модульное программное обеспечение, которое позволяет пользователям выбирать, какие улучшения безопасности включать, чтобы (теоретически) процессы отключенных возможностей не загружали и не замедляли работу веб-сайта. Это популярная тенденция в плагинах WordPress, которая позволяет программному обеспечению делать много вещей, но выполнять только те задачи, которые требуются пользователю.
Плагин продвигается через партнерские обзоры и, согласно обзору Google AI, имеет очень положительные отзывы. Более 97% обзоров в официальном репозитории WordPress имеют наивысший возможный рейтинг пять звезд, при этом менее 1% оценивают плагин как 1 звезду.
Что пошло не так?
Недостаток безопасности в плагине делает его уязвимым для обхода аутентификации, который позволяет злоумышленнику получить доступ к областям веб-сайта, требующим имени пользователя и пароля, без необходимости предоставления учетных данных. Уязвимость Really Simple Security позволяет злоумышленнику получить доступ к любому зарегистрированному пользователю веб-сайта, включая администратора, просто зная имя пользователя.
Это называется уязвимостью доступа без аутентификации. Это одна из наиболее серьезных уязвимостей, поскольку ее, как правило, легче использовать, чем уязвимость «аутентифицированного» доступа, которая требует от злоумышленника сначала получить имя пользователя и пароль зарегистрированного пользователя.
Wordfence объясняет точную причину уязвимости:
«Плагины Really Simple Security (Free, Pro и Pro Multisite) для WordPress уязвимы к обходу аутентификации в версиях с 9.0.0 по 9.1.1.1. Это связано с неправильной обработкой ошибок проверки пользователя в двухфакторных действиях REST API с функцией check_login_and_get_user. Это позволяет злоумышленникам, не прошедшим проверку подлинности, войти в систему под любым существующим пользователем на сайте, например администратором, когда включен параметр «Двухфакторная аутентификация» (по умолчанию отключен).
Wordfence заблокировал 310 атак, направленных на эту уязвимость, за последние 24 часа».
Рекомендуемый курс действий:
Wordfence рекомендует пользователям плагина обновиться до Really Simple Security версии 9.1.2 (или более поздней версии).
Журнал изменений плагина Really Simple Security ответственно сообщает о причине обновления программного обеспечения:
«Журнал изменений
9.1.2
безопасность: обход аутентификации»
Прочтите рекомендации по безопасности Wordfence:
Рекомендованное изображение: Shutterstock/Tithi Luadthong
