650.000 WordPress-sites kwetsbaar door lek in WP Fastest Cache
Zo'n 650.000 WordPress-sites lopen door een kwetsbaarheid in de plug-in WP Fastest Cache risico om door kwaadwillenden te worden overgenomen. WP Fastest Cache is een plug-in die ervoor moet zorgen dat WordPress-sites sneller worden geladen. Het is op meer dan één miljoen websites geïnstalleerd.
Onderzoekers van Jetpack ontdekten twee kwetsbaarheden in de plug-in. De eerste kwetsbaarheid betreft geauthenticeerde SQL-injection en zorgt ervoor dat een aanvaller toegang tot de database kan krijgen, om zo bijvoorbeeld gebruikersnamen en gehashte wachtwoorden te stelen. De aanval is alleen mogelijk wanneer de classic-editor plug-in ook op de website actief is.
De tweede kwetsbaarheid, aangeduid als CVE-2021-24869, betreft stored cross-site scripting (XSS) en cross-site request forgery (CSRF). Via dit beveiligingslek kan een aanvaller dezelfde acties als een ingelogde beheerder uitvoeren en zo volledige controle over de website krijgen. De impact van deze kwetsbaarheid is op een schaal van 1 tot en met 10 met een 9,6 beoordeeld.
Jetpack waarschuwde de ontwikkelaar van WP Fastest Cache op 29 september. Vervolgens verscheen op 11 oktober versie 0.9.5 waarin de kwetsbaarheden zijn verholpen. Sinds het uitkomen van de nieuwe versie is WP Fastest Cache zo'n 354.000 keer gedownload, wat inhoudt dat nog zo'n 650.000 WordPress-sites niet zijn bijgewerkt met de nieuwste versie van de plug-in.
Detail is dat als wordpress onder windows draait (wamp) de server zal worden versleuteld indien gehackt. Draait het onder Linux (lamp) of BSD dan zal dat niet gebeuren omdat apache geen systeemrechten heeft.
Dat gezegd hebben, is dit wel een van de populairdere plugins, met dus een grove miljoen installs. Je hoeft je dus niet te schamen als je deze gebruikt, en als je de auto-updates aan hebt staan of regelmatig zelf de updates draait, is er nies aan de hand. Alleen auto-updates is nogal een risico, zeker als het om je inkomen gaat, dus veel mensen zetten deze uit en updaten maar eens in de maand bijvoorbeeld. Dat is waar het mis gaat in dit geval.
User enumeration aan laten staan en niet op "disabled" gezet en directory listing idem dito.
Meest voorkomende issues, niet voldoende updaten van kern CMS en plug-ins en thema's.
Nog erger code laten staan, die inmiddels verlaten is door de developer.
Of iets dat gemanipuleerd kan worden door cybercriminelen, zoals mailchimp bijvoorbeeld,
En dan ook de security issues van allerlei websites naar de achterliggende server toe.
Header-security, CSP, etc. etc.
Ik geef hier maar een paar voorbeeldjes uit een heel scala, die een error-hunter zou vinden.
Maar voor veel beslissingnemers is het geen item en sluitpost op de begroting.
Tot de spreekwoordelijke mest de ventilator raakt, dan is Leiden in last.
Men heeft vaak liever een gelikt uitziende website dan een veilige.
luntrus
2. Automatische backups
3. Automatische updates
Omdat Microsoft een closed source API heeft die door het Microsoft product IIS gebruikt kan worden maar die niet wordt vrijgegeven voor gebruik in Apache? Tja, zo kan ik het ook. Dergelijke verwerpelijke praktijken om de concurrent eronder te houden zouden verboden moeten worden!
Detail is dat als wordpress onder windows draait (wamp) de server zal worden versleuteld indien gehackt. Draait het onder Linux (lamp) of BSD dan zal dat niet gebeuren omdat apache geen systeemrechten heeft.
Afgezien menige profiionele site wel bijvoorbeeld met php gemaakt is?
Tweakers.net is daar een mooi voorbeeld van.
Fok.nl idem.
Wikipedia vergeet je ook liever?
Daarnaast in Windows kun je IIS resources ook onder bepaalde rechten draaien. Sterker nog, dit is al sinds 2003 een gelimiteerd account. Je loopt pas een paar jaar achter.
https://blogs.iis.net/davcox/what-is-my-iis-code-running-as
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
