image

Duizenden WordPress-sites kwetsbaar door lek in Directorist-plug-in

donderdag 8 juni 2023, 09:47 door Redactie, 5 reacties

Duizenden zakelijke WordPress-sites lopen risico via een kwetsbaarheid in de Directorist-plug-in te worden overgenomen door aanvallers. WordPress.org heeft de plug-in tijdelijk gesloten, waardoor gebruikers de update voor het probleem niet via het WordPress-dashboard kunnen installeren en dit handmatig moeten doen. Dat laat securitybedrijf Wordfence weten, dat beheerders adviseert de update zelf te installeren of anders de plug-in tijdelijk te verwijderen.

Directorist is een op bedrijven gerichte plug-in waarmee het mogelijk is om rubrieksadvertenties en allerlei lokale telefoongidsen, van bijvoorbeeld restaurants, hotels, makelaars, evenementen en andere zaken, aan de WordPress-site toe te voegen. Volgens ontwikkelaar Wpwax maken meer dan tienduizend bedrijven er gebruik van. Een kwetsbaarheid in de plug-in maakt het mogelijk voor bezoekers die zich als 'subscriber' hebben kunnen registeren om het wachtwoord van de beheerder aan te passen en zo toegang tot de website te krijgen.

Het beveiligingslek werd begin april door Wordfence aan de ontwikkelaar gemeld, maar die gaf geen reactie. Daarop besloot WordPress.org om de plug-in tijdelijk te sluiten voor verder onderzoek. Inmiddels is er een update beschikbaar, maar die kan door de tijdelijke sluiting op WordPress.org niet meer via het WordPress-dashboard worden geïnstalleerd, wat inhoudt dat beheerders dit handmatig moeten doen. Vanwege deze reden heeft Wordfence besloten geen uitgebreide details over het lek (CVE-2023-1888) te delen, waarvan de impact op een schaal van 1 tot en met 10 beoordeeld is met een 8.8.

Reacties (5)
08-06-2023, 10:48 door Anoniem
A never-ending story met die WordPress plug-in ellende.

Wat heeft u aan een dure en gelikte site, als er configuratiefouten zijn of de site niet op tijd van updates en patches wordt voorzien. Achterstallig onderhoud komt u in de k*nt bijten.

Die er verstand van hebben tellen niet mee en die er geen jota verstand van hebben, nemen de uiteindelijke beslissingen.

Veel ellende met plug-ins, soms user enumeration en directory listing later niet op disabled gezet.

Ook nog heel wat websites met verouderde CMS versies van Word Press.

Doe een scannetje hier: https://hackertarget.com/wordpress-security-scan/

luntrus
08-06-2023, 10:48 door Anoniem
Ik geloof dat ik het niet snap. "plugin sluiten" dat betekent "wij verspreiden geen updates meer"?
Je zou eerder hopen dat WordPress inmiddels een mechanisme heeft om centraal vanuit hun servers "kill bits" voor
plugins te zetten waardoor op alle sites die deze plugin geinstalleerd hebben deze inactief wordt.
DAAR zou je wat mee kunnen. Simpelweg "we halen deze weg van onze download site" daarmee bereik je helemaal niets.
08-06-2023, 11:15 door Anoniem
Hoe noemen we dit en het gebeurt overal nog veel en veel te vaak?
"Security through obscurity".

Zeker zo in het geval van deze specifieke kwetsbaarheid:
https://access.redhat.com/errata/RHSA-2023:1888

Geen uitgebreide details geven over een zo'n evident gapend gat,
dat is "wat niet weet, dat niet deert"...maar ondertussen.

Het is als bij kleuters. Doe je handen voor je ogen en het is er niet meer.
Dat kan je op hele rare verassingen komen te staan.
Je zit immers zo in het verkeerde sprookje. :) ;)

luntrus
08-06-2023, 12:20 door Anoniem
Door Anoniem: Ik geloof dat ik het niet snap. "plugin sluiten" dat betekent "wij verspreiden geen updates meer"?
Je zou eerder hopen dat WordPress inmiddels een mechanisme heeft om centraal vanuit hun servers "kill bits" voor
plugins te zetten waardoor op alle sites die deze plugin geinstalleerd hebben deze inactief wordt.
DAAR zou je wat mee kunnen. Simpelweg "we halen deze weg van onze download site" daarmee bereik je helemaal niets.
Het probleem is in dit geval niet Wordpress maar een plug-in.
Dan kun je Android beter afzeiken want er zitten heel veel foute en lekke aps in de winkel.
Wordpress zelf verwijderd deze plug-ins sneller dan Google.
08-06-2023, 22:47 door Anoniem
Ik hoef noch WP noch Android af te kraken noch te prijzen.
Ik ben ook niet voor de Google vendor lock-in.

Kan niemand meer gewoon reageren zonder zich aangevallen te voelen. Teveel boe bah reacties hier de laatste tijd.

Supporting full open disclosure and keeping the community as secure as possible and not feeling the need to join the band-waggon of the FTB just for doing so.

luntrus
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.