WordPress-sites kwetsbaar door lek in CodeArt-plug-in
Honderden WordPress-sites zijn kwetsbaar door een lek in een plug-in genaamd CodeArt - Google MP3 Player, waardoor aanvallers informatie kunnen achterhalen om sites volledig mee over te nemen. CodeArt is een plug-in om muziek aan een blog toe te voegen en wordt al jaren niet meer ondersteund.
Via het beveiligingslek is het mogelijk om het bestand wp-config.php uit te lezen, dat gevoelige informatie bevat zoals WordPress-databasenaam, gebruikersnaam, wachtwoord en hostnaam. Ook bevat het de WordPress "secret keys" waarmee het mogelijk is om authenticatiecookies te vervalsen. Alleen al toegang tot de WordPress-database is voldoende om de website over te nemen. Wanneer het wachtwoord van de database hetzelfde is als dat van de beheerder, kan de site ook via de front-end worden gecompromitteerd, zegt onderzoeker Troy Mursch van Bad Packets Report.
Al 4 jaar geleden stelden gebruikers dat de plug-in een kwetsbaarheid bevat die aanvallers gebruikten om configuratiebestanden uit te lezen. Daarop stelde de ontwikkelaar mogelijk het beveiligingslek te zullen dichten. Volgens de WordPress repository verscheen de laatste update voor CodeArt echter zes jaar geleden. De plug-in is inmiddels ook niet meer via de WordPress-site te downloaden.
Mursch ontdekte dat nog bijna duizend WordPress-sites de plug-in gebruiken. Zo'n 400 zijn daarvan kwetsbaar voor aanvallen. De onderzoeker merkt op dat aanvallers actief naar kwetsbare websites zoeken. Webmasters en beheerders krijgen dan ook het advies de plug-in direct te verwijderen.
https://www.nmmapper.com/st/exploitdetails/35460/35247/wordpress-plugin-codeart-google-mp3-player-file-disclosure-download/
En opnieuw PHP in de hoofdrol bij deze exploiteerbare kwetsbaarheid.
die al bij ruim 400 Word Press sites met deze niet langer onderhouden plugin kan zijn opgetreden.
"Dorkje, Shodannetje, pats, compromised..."
Security blijkt altijd weer de sluitpost te zijn bij website beveiliging
en sluitspost bij alle vormen van security van de internet infrastructuur.
Het mag vooral weer niets of niet te veel kosten.
Er verandert zodanig niets & er verbetert maar mondjesmaat iets.
Dit gaat nog eens een keer leiden tot een giga-globale-databreach-hack,
voorspelt een IT kennis van mij, en hij kan best eerdaags eens gelijk gaan krijgen.
Goed dat de Russische Federatie al oefent om de eigen cyberruimte onafhankelijk van de rest te laten draaien.
Los van het globale Interwebz gebeuren middels eigen DNS voorzieningen
en direct neerhalen van ongewenste content.
De bekende beschermheer van Dr. Web uit St. Petersburg heeft die noodzakelijkheid goed ingeschat.
De URLologist geeft hem in deze gelijk.
Niet iedereen bij ons zal direct staan te juichen om wat Vladimir Vladimirovitsj doet,
maar daar gebeurt tenminste nog wat tegen kwetsbaarheden op de infrastructuur
binnen de Russische cyberruimte.
Ondanks de monocultures en het gebrek aan best policies
en het gebrek aan de nodige patches en updates,
die Russen wel tot nog meer ingrijpende voortvarendheid manen.
Er blijft immers nog genoeg te doen over.
Waarvan akte,
#sockpuppet
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
