Friday, March 29, 2024

WP Bakery Page Builder 6.4: Κενό ασφαλείας εκθέτει εκατομμύρια sites

Πρόκειται για ένα premium plugin το οποίο συχνά έρχεται ενσωματωμένο σε ένα μεγάλο αριθμό -επίσης premium- themes για WordPress. 

Good News

Η είδηση; Ερευνητές ανακάλυψαν κενό ασφαλείας στον WP Bakery Page Builder το οποίο επιτρέπει σε επιτιθέμενους χρήστες να εισάγουν κακόβουλο JavaScript κώδικα σε σελίδες του WordPress.

Να εξετάσουμε όμως τα πράγματα από την αρχή (και ταυτόχρονα να αναλύσουμε τη σημασία των έγκαιρων αναβαθμίσεων στην σελίδα μας);

Από τις 27 Ιουλίου 2020, η ομάδα Threat Intelligence του Wordfence έχει εντοπίσει το προαναφερθέν κενό ασφαλείας στον WP Bakery Page Builder.

To πρόγραμμα δημιουργίας σελίδων της WP Bakery είναι ο πιο δημοφιλής page builder για το WordPress.

Ένα πολύ εύκολο στη χρήση εργαλείο που επιτρέπει στους ιδιοκτήτες ιστοσελίδων να δημιουργούν σελίδες με απλές, drag and drop λειτουργίες.

Δυστυχώς, το plugin σχεδιάστηκε με ένα ελάττωμα που δίνει στους χρήστες με δικαιώματα contributor την δυνατότητα να εισάγουν κακόβουλο JavaScript κώδικα τόσο σε σελίδες (Pages) όσο και σε άρθρα (Posts).

Ταυτόχρονα, τους επιτρέπει να τροποποιήσουν σελίδες και άρθρα άλλων χρηστών.

Σε απλά ελληνικά: οποιοσδήποτε χρήστης με πρόσβαση στον page builder θα μπορούσε να εισάγει τον κακόβουλο κώδικα σε οποιοδήποτε σημείο ενός post ή μίας σελίδας.

Κενό ασφαλείας (WP Bakery Page Builder): Tο χρονικό.

Μία ημέρα μετά, λοιπόν, στις 28 Ιουλίου, οι ιθύνοντες του Wordfence επικοινώνησαν με την ομάδα ανάπτυξης του plugin μέσω του support forum που οι τελευταίοι διαθέτουν.

Αφού έλαβαν πληροφορίες σχετικά με τον ακριβή τρόπο που θα έπρεπε να αποκαλύψουν τις σχετικές (και ευαίσθητες) πληροφορίες, η ομάδα του Wordfence έδωσε όλα τα δεδομένα που είχε στη διάθεσή της την 29η Ιουλίου.

Από την πλευρά της, στις 31 Ιουλίου, η ομάδα ανάπτυξης του plugin επιβεβαίωσε το κενό ασφαλείας και ανέφερε ότι έχει ήδη ξεκινήσει την επιδιόρθωση του προβλήματος.

Μετά από μία μακρά περίοδο επικοινωνίας των δύο ομάδων (και μία σειρά από ανεπαρκή patches), η οριστική επιδιόρθωση του προβλήματος ήρθε στις 24 Σεπτεμβρίου 2020, δύο μήνες σχεδόν μετά την ανακάλυψή του, με τη διάθεση του WP Bakery Page Builder 6.4.1.

Η σημασία των έγκαιρων αναβαθμίσεων

Γιατί αναλύουμε τώρα (και τόσο ενδελεχώς) ένα κενό ασφαλείας;

Αρχικά, γιατί τώρα ήρθαν στο φως της δημοσιότητας οι σχετικές πληροφορίες, χάρη στο χθεσινό -διαφωτιστικό- blog post της ομάδας του Wordfence.

Το πιο σημαντικό, όμως, είναι η ιδιαίτερη φύση του συγκεκριμένου page builder.

Πρόκειται για ένα premium plugin το οποίο συχνά έρχεται ενσωματωμένο σε ένα μεγάλο αριθμό -επίσης premium- themes για WordPress.

Και ενώ στα δικά σας μάτια φαντάζει μία εξαιρετική προσφορά καθώς δεν επενδύετε επιπλέον χρήματα για την κατασκευή της ιστοσελίδας σας, η συγκεκριμένη πρακτική έχει ένα σοβαρό πρόβλημα: δεν λαμβάνετε απευθείας τις ενημερώσεις του page builder (καθώς δεν έχετε πληρώσει). Αντιθέτως, θα πρέπει να περιμένετε να βγει η ενημέρωση του theme σας που ίσως την συμπεριλαμβάνει.

Και στο διάστημα αυτό; Οι επισκέπτες του site σας είναι έκθετοι στο πρόβλημά σας καθώς ο κακόβουλος κώδικας που προανάφεραμε πριν έχει στόχο τον δικό τους browser, όχι εσάς.

Αυτή είναι άλλωστε και η φύση όλων των XSS επιθέσεων (όπως και η συγκεκριμένη που αναλύουμε σήμερα).

Σημείωση: Από τη στιγμή που το πρόβλημα επιδιορθώνεται με την έκδοση 6.4.1 του WP Bakery Page Builder, η έκδοση 6.4.0, καθώς και όλες οι προηγούμενες εκδόσεις, είναι ευάλωτες.

 

 

 

 

SourceWordfence

ΑΦΗΣΤΕ ΜΙΑ ΑΠΑΝΤΗΣΗ

εισάγετε το σχόλιό σας!
παρακαλώ εισάγετε το όνομά σας εδώ

- Advertisement -spot_img

Νέα άρθρα