4 milyondan fazla kuruluma sahip popüler WordPress güvenlik eklentisinde kritik bir güvenlik açığı keşfedildi. Bu kusur, saldırganların yöneticiler dahil herhangi bir kullanıcı olarak oturum açmasına ve site düzeyindeki izinlere tam erişim elde etmesine olanak tanıyor. 10 üzerinden 9,8'lik bir tehdit puanı alan bu tehdit, kötü amaçlı yazılım enjeksiyonu, yetkisiz içerik değişiklikleri ve site ziyaretçilerine yönelik saldırılar da dahil olmak üzere, istismarın kolaylığını ve tüm sitenin tehlikeye girme potansiyelini vurguluyor.
Gerçekten Basit Güvenlik
Gerçekten Basit Güvenlik, WordPress sitelerinin istismarlara karşı direncini artırmak (güvenlik güçlendirme olarak adlandırılır), iki faktörlü kimlik doğrulamayı etkinleştirmek, güvenlik açıklarını tespit etmek ve aynı zamanda bir SSL sertifikası oluşturmak için geliştirilmiş bir WordPress eklentisidir. Kendisini hafif olarak tanıtmasının nedenlerinden biri, kullanıcıların hangi güvenlik geliştirmelerini etkinleştireceklerini seçmelerine olanak tanıyan modüler bir yazılım olarak tasarlanmış olmasıdır, böylece (teorik olarak) devre dışı bırakılan yeteneklere yönelik süreçler yüklenmez ve web sitesini yavaşlatmaz. Bir yazılımın birçok şeyi yapmasına ancak yalnızca kullanıcının ihtiyaç duyduğu görevleri yapmasına olanak tanıyan WordPress eklentilerindeki popüler bir eğilimdir.
Eklenti, bağlı kuruluş incelemeleri aracılığıyla tanıtılıyor ve Google AI Genel Bakış'a göre oldukça olumlu eleştiriler alıyor. Resmi WordPress deposundaki incelemelerin %97'sinden fazlası, mümkün olan en yüksek derecelendirme olan beş yıldızla derecelendirilmiştir ve %1'den azı eklentiyi 1 yıldız olarak derecelendirmiştir.
Ne Yanlış Gitti?
Eklentideki bir güvenlik kusuru, eklentiyi, bir saldırganın kimlik bilgileri sağlamak zorunda kalmadan bir web sitesinin kullanıcı adı ve parola gerektiren alanlarına erişmesine izin veren bir kusur olan kimlik doğrulama atlamasına karşı savunmasız hale getirir. Gerçekten Basit Güvenlik'e özgü güvenlik açığı, bir saldırganın yalnızca kullanıcı adını bilerek, yönetici de dahil olmak üzere web sitesindeki herhangi bir kayıtlı kullanıcıya erişim sağlamasına olanak tanır.
Buna, Kimlik Doğrulaması Olmayan Erişim Güvenlik Açığı adı verilir ve en ciddi kusur türlerinden biridir, çünkü bu güvenlik açığından yararlanılması, bir saldırganın öncelikle kayıtlı bir kullanıcının kullanıcı adını ve parolasını almasını gerektiren “kimliği doğrulanmış” bir kusurdan genellikle daha kolaydır.
Wordfence, güvenlik açığının kesin nedenini açıklıyor:
“WordPress için Gerçekten Basit Güvenlik (Ücretsiz, Pro ve Pro Çoklu Site) eklentileri, 9.0.0 ila 9.1.1.1 sürümlerinde kimlik doğrulama atlamasına karşı savunmasızdır. Bunun nedeni 'check_login_and_get_user' işleviyle iki faktörlü REST API eylemlerinde kullanıcı kontrolü hatasının hatalı işlenmesidir. Bu, “İki Faktörlü Kimlik Doğrulama” ayarı etkinleştirildiğinde (varsayılan olarak devre dışıdır), kimliği doğrulanmamış saldırganların sitede yönetici gibi mevcut herhangi bir kullanıcı olarak oturum açmasına olanak tanır.
Wordfence, son 24 saat içinde bu güvenlik açığını hedef alan 310 saldırıyı engelledi.”
Önerilen Eylem Planı:
Wordfence, eklenti kullanıcılarını Gerçekten Basit Güvenlik sürüm 9.1.2'ye (veya daha yüksek bir sürüme) güncellemeye teşvik eder.
Gerçekten Basit Güvenlik eklentisinin değişiklik günlüğü, güncellenen yazılımın nedenini sorumlu bir şekilde duyurur:
“Değişiklik günlüğü
9.1.2
güvenlik: kimlik doğrulamayı atlama”
Wordfence güvenlik danışma belgesini okuyun:
Gerçekten Basit Güvenlik (Ücretsiz, Pro ve Pro Çoklu Site) 9.0.0 – 9.1.1.1 – Kimlik Doğrulamayı Atlatma
Shutterstock/Tithi Luadthong'dan Öne Çıkan Görsel
Bir yanıt yazın