×
WordPress 0day могла облегчить работу хакеров

 

Система управления контентом крупнейшей блог-плаформы интернета при переходе на обновленную версию получила  значительную уязвимость, благодаря которой хакеры могли получать доступ к администрированию сайтов. Подробностями делится портал arstechnica.com. 

 

Зловредный код, который хакеры выложили на одном из форумов, позволял получить доступ к управлению миллионами сайтов в интернете. Уязвимости платформы известны как постоянные ошибки XSS. Они позволяют атакующим внедрить необходимый код в секцию комментариев, располагающуюся непосредственно под текстом основной записи. Получив доступ к этой секции, хакеры могут поменять пароли, добавить новых администраторов или совершить любое другое действие, которое доступно настоящим администраторам страницы. 

 

Наиболее серьезно эти уязвимости могут повлиять на WordPress 4.2. 

 

«При настройках по умолчанию хакер может использовать эту уязвимость для того, чтобы получить доступ к коду на сервере через плагин или редактирование темы, – прокомментировал инцидент Йоуко Пьюннонен, исследователь из финской компании в сфере информационной безопасности Klikki.Oy. – Это развязывало руки хакерам, которые могли менять пароль администратора, авторизовать как редакторов новых пользователей или совершить любые другие действия, которые доступны зарегистрированному администратору». 

 

Механика атаки начинается с публикации значительного куска Java-кода на сайте в качестве комментария. Пока пользователь с реальными правами редактора обрабатывает комментарий, код начинает свою деятельность. 

По умолчанию WordPress не публикует комментарии автоматически, если пользователь не был одобрен как администратор. После того как первый комментарий хакера был одобрен, он может публиковать остальные комментарии без согласования, что позволяет активировать код. 

 

Через два часа после публикации на arstechnica.com администраторы WordPress установили соответствующее обновление. 

 

Автор: Александра Кисель.