Duizenden WordPress-sites kwetsbaar door kritieke lekken in plug-in
Duizenden WordPress-sites zijn kwetsbaar door twee kritieke beveiligingslekken in de plug-in Quiz And Survey Master. Via de kwetsbaarheden kan een aanvaller willekeurige PHP-code op de server uitvoeren. In het ergste geval zou een aanvaller zo toegang tot alle websites kunnen krijgen die op de server worden gehost.
Quiz And Survey Master biedt gebruikers de mogelijkheid om quizzen en onderzoeken aan hun WordPress-site toe te voegen. Het is op meer dan 30.000 websites actief. De plug-in biedt ook de mogelijkheid om bestanden te uploaden. De uploadfunctie bleek bij de controle van het geüploade bestand alleen naar het "Content-Type" veld te kijken. Dit veld is eenvoudig te spoofen, waardoor een aanvaller ook PHP-bestanden had kunnen uploaden.
De enige vereiste was om in het "Content-Type" veld van het PHP-bestand aan te geven dat het om een toegestaan bestandsformaat ging. Door het uploaden van een kwaadaardig PHP-bestand had een aanvaller de website kunnen overnemen. Op een schaal van 1 tot en met 10 wat betreft de impact werd de kwetsbaarheid met een 10 beoordeeld.
Het tweede beveiligingslek kreeg een score van 9,9 toegekend. Via deze kwetsbaarheid had een aanvaller allerlei bestanden kunnen verwijderen, waaronder het wp-config.php-bestand. Hierdoor zou de website geen verbinding meer met de database hebben. Een aanvaller had vervolgens de installatieprocedure kunnen afronden en de site met zijn eigen database verbinding laten maken. Zo zou de aanvaller de website voor allerlei aanvallen kunnen gebruiken of andere sites die via hetzelfde account werden gehost kunnen compromitteren, aldus securitybedrijf Wordfence dat de problemen ontdekte.
Wordfence waarschuwde de ontwikkelaars die op 5 augustus met een update (versie 7.0.1) kwamen. Details van beide kwetsbaarheden zijn nu openbaar gemaakt. Van de 30.000 websites die de plug-in geïnstalleerd hebben draait 43 procent versie 6.x, die kwetsbaar is. Van 17 procent is de gebruikte versie onbekend, aldus cijfers van WordPress zelf. Het is niet de eerste keer dat de uploadfunctie van een WordPressplug-in voor problemen zorgt. Eind juli werd een dergelijke kwetsbaarheid in de plug-in wpDiscuz ontdekt.
en met name sommige kwetsbare en niet gepatchte plug-ins een groot risico vormen.
Niet goed bijgehouden kernel versies, slecht geconfigureerd met user enumeration en/of directory listing op enabled laten staan. Afvoerbare jQuery bibliotheken en nog erger. Niet langer onderhouden code maken deze Content Management Software tot een "lekkerbekkie" voor malcreanten en andere cybercriminelen. Een voortdurende bron van zorg.
Kijk eens het aantal Word Press websites dat heodo en emotet malware verspreiden. Beangstigend gewoon.
Magenta en andere PHP gebaseerd CMS in mindwere mate, maar toch steeds weer hetzelfde verhaal.
Net als met dat dropmerk: "Het zou verboden moeten worden!".
luntrus
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
