Duizenden WordPress-sites kwetsbaar door lek in Directorist-plug-in
Duizenden zakelijke WordPress-sites lopen risico via een kwetsbaarheid in de Directorist-plug-in te worden overgenomen door aanvallers. WordPress.org heeft de plug-in tijdelijk gesloten, waardoor gebruikers de update voor het probleem niet via het WordPress-dashboard kunnen installeren en dit handmatig moeten doen. Dat laat securitybedrijf Wordfence weten, dat beheerders adviseert de update zelf te installeren of anders de plug-in tijdelijk te verwijderen.
Directorist is een op bedrijven gerichte plug-in waarmee het mogelijk is om rubrieksadvertenties en allerlei lokale telefoongidsen, van bijvoorbeeld restaurants, hotels, makelaars, evenementen en andere zaken, aan de WordPress-site toe te voegen. Volgens ontwikkelaar Wpwax maken meer dan tienduizend bedrijven er gebruik van. Een kwetsbaarheid in de plug-in maakt het mogelijk voor bezoekers die zich als 'subscriber' hebben kunnen registeren om het wachtwoord van de beheerder aan te passen en zo toegang tot de website te krijgen.
Het beveiligingslek werd begin april door Wordfence aan de ontwikkelaar gemeld, maar die gaf geen reactie. Daarop besloot WordPress.org om de plug-in tijdelijk te sluiten voor verder onderzoek. Inmiddels is er een update beschikbaar, maar die kan door de tijdelijke sluiting op WordPress.org niet meer via het WordPress-dashboard worden geïnstalleerd, wat inhoudt dat beheerders dit handmatig moeten doen. Vanwege deze reden heeft Wordfence besloten geen uitgebreide details over het lek (CVE-2023-1888) te delen, waarvan de impact op een schaal van 1 tot en met 10 beoordeeld is met een 8.8.
Wat heeft u aan een dure en gelikte site, als er configuratiefouten zijn of de site niet op tijd van updates en patches wordt voorzien. Achterstallig onderhoud komt u in de k*nt bijten.
Die er verstand van hebben tellen niet mee en die er geen jota verstand van hebben, nemen de uiteindelijke beslissingen.
Veel ellende met plug-ins, soms user enumeration en directory listing later niet op disabled gezet.
Ook nog heel wat websites met verouderde CMS versies van Word Press.
Doe een scannetje hier: https://hackertarget.com/wordpress-security-scan/
luntrus
Je zou eerder hopen dat WordPress inmiddels een mechanisme heeft om centraal vanuit hun servers "kill bits" voor
plugins te zetten waardoor op alle sites die deze plugin geinstalleerd hebben deze inactief wordt.
DAAR zou je wat mee kunnen. Simpelweg "we halen deze weg van onze download site" daarmee bereik je helemaal niets.
"Security through obscurity".
Zeker zo in het geval van deze specifieke kwetsbaarheid:
https://access.redhat.com/errata/RHSA-2023:1888
Geen uitgebreide details geven over een zo'n evident gapend gat,
dat is "wat niet weet, dat niet deert"...maar ondertussen.
Het is als bij kleuters. Doe je handen voor je ogen en het is er niet meer.
Dat kan je op hele rare verassingen komen te staan.
Je zit immers zo in het verkeerde sprookje. :) ;)
luntrus
Je zou eerder hopen dat WordPress inmiddels een mechanisme heeft om centraal vanuit hun servers "kill bits" voor
plugins te zetten waardoor op alle sites die deze plugin geinstalleerd hebben deze inactief wordt.
DAAR zou je wat mee kunnen. Simpelweg "we halen deze weg van onze download site" daarmee bereik je helemaal niets.
Dan kun je Android beter afzeiken want er zitten heel veel foute en lekke aps in de winkel.
Wordpress zelf verwijderd deze plug-ins sneller dan Google.
Ik ben ook niet voor de Google vendor lock-in.
Kan niemand meer gewoon reageren zonder zich aangevallen te voelen. Teveel boe bah reacties hier de laatste tijd.
Supporting full open disclosure and keeping the community as secure as possible and not feeling the need to join the band-waggon of the FTB just for doing so.
luntrus
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
