Weer kritieke beveiligingsupdate voor WordPress
De makers van het zeer populaire contentmanagementsysteem (CMS) WordPress hebben voor de derde keer in twee weken tijd een kritieke beveiligingsupdate uitgebracht. Versie 4.2.2 verhelpt twee lekken, waaronder een kritiek cross-site scriptinglek dat een anonieme gebruiker in staat stelde om websites volledig over te nemen. Dit beveiligingslek was al deels in WordPress 4.2.1 gepatcht, maar is nu helemaal verholpen.
De andere kwetsbaarheid betreft ook een cross-site scriptinglek dat aanwezig in het "generic fonts" pakket was. Dit pakket wordt door allerlei populaire WordPress-themes gebruikt, waaronder het standaard theme "Twenty Fifteen". De kwetsbaarheid werd door de aanwezigheid van een HTML-bestand veroorzaakt. WordPress 4.2.2 verwijdert dan ook dit HTML-bestand. Het lek zou al zijn aangevallen voordat de update van WordPress beschikbaar was, zo meldt beveiligingsbedrijf Sucuri. Naast de twee kwetsbaarheden verhelpt versie 4.2.2 ook verschillende niet-security gerelateerde bugs. Gebruikers krijgen dan ook het advies om de update te installeren.
Het blijft PHP stack gebaseerd. Maar met hun automatische updatesysteem hebben ze het wel goed voor elkaar v.w.b. het veilig houden van Wordpress installaties. Dat werkt nl. perfect.
Laatst nog een kleine leenbank gezien die WordPress draaide en een Paypal phish serveerde. Double whammy.
PHP heeft hier werkelijk helemaal niks mee te maken. Daar zijn prima veilige websites mee te maken.
hmmm... https://www.owasp.org/index.php/PHP_Security_Cheat_Sheet
Maar de autoupdate werkt zoals hieroven al eerder aangegeven, inderdaad prima. Het probleem is alleen dat niet alle updates (WP-core, thema, plug-ins) via de autoupdate worden geïnstalleerd en er dus een heleboel ongepatchte WordPress sites blijven draaien.
Volgens mij moet WordPress de autoupdate aanzetten voor alles. Als je delen er van of het compleet wilt uitzetten, dan wordt je geacht dat je weet wat je doet en moet je even in de codex kijken. Valt je site door een autoupdate om, jammer dan. Kwestie van goed beheer: testomgeving, backup, etc.
https://codex.wordpress.org/Configuring_Automatic_Background_Updates
Een websitebouwer neemt een Wordpress theme (bestaand) kleeft daar dan een huisstijl over, al dan niet met de nodige code aanpassingen, en dan stopt het meestal. Een eindklant is bang om iets aan te passen of up te daten aan een theme omwille van mogelijke impact naar de layout etc etc etc. En dan blijft dat 'oude' theme met inherente exploits gewoon staan.
Wordpress is zoals dat andere zeer populaire CMS (uit een andere tijdsgeest), PhpNuke, een enorme zooi geworden van 999 third party plugins/themes/custom aanpassingen. Ja er zijn exploits scanners voor WP die beperkte IDS/IPS functionaliteit leveren maar daar is een standaardgebruiker niet mee (en dan heb ik het nog niet over allerhande obfuscation/evasion)
Met een childtheme heb je geen last van je CSS aanpassingen. Blijven echter wel je PHP aanpassingen over.
Maar er is natuurlijk helemaal niets op tegen om autoupdate uit te zetten en het zelf goed gecontroleerd te doen. Maar voor het gros van de WordPress gebruikers die even snel een website online hebben gezet met een standaard thema zonder aanpassingen, lijkt me een autoupdate voor WP-core, thema en plugins de beste optie.
- of the moeilijk voor de programmeurs zijn om het goed te doen,
- of the veel tijd kosten om het goed te doen of
- waar kwaliteit/functionaliteit onder druk staat met kosten/budget.
PHP lijkt gezien het grote aantal fouten in allerlei applicaties waaronder Wordpress niet het juiste tool in die omgevingen te zijn voor dit moment. Waar dat aan ligt zou nader onderzocht kunnen worden.
Je hebt 3 zaken: het moet goed, op tijd (snel), en goedkoop(kosten). Je kan ze niet alle 3 hebben. welke ga je laten vallen?Je zou ook uitstekend alles in assembler C zonder gebruik van libraries kunnen doen. Dat is niet de realistisch
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
