وصله آسیب‌پذیری‌های وردپرس

به گزارش واحد متخصصین سایبربان؛ آسیب‎پذیری‌های ورد‎پرس همانند آهن‎ربایی، مهاجمانی که با کیت‌های سوءاستفاده کار می‌کنند را جذب کرده و در ماه فوریه باعث حملات باج‎افزاری شده‌ است.

وردپرس امسال سه به‎روز‎رسانی امنیتی منتشر کرده است که آخرین آن‌ها برای سامانه مدیریت محتوا بود که جمعه گذشته منتشر شد و وردپرس فعلی را به نسخه ۴.۵.۲ ارتقاء داد. وردپرس همچنین در ماه آوریل رمزنگاری رایگان برای دامنه‌هایی قرارداد که بر روی زیرساخت میزبانی می‌شوند.

آخرین به‎روزرسانی یک به‎روزرسانی امنیتی است که تمامی نسخه‌ها ازجمله نسخه ۴.۵.۱ را تحت تأثیر قرار می‌دهد. در توصیه‎نامه‌ای که اواخر هفته گذشته منتشر شد، وردپرس گفت که کتابخانه‌ی بارگیری شده‌ی پرونده شخص ثالث Plupload به دام آسیب‎پذیری SOME افتاده است. این حفره‌های SOME خطای JSON از یک منبع ناشی می‌شوند و مشکلاتی همانند حملات اسکریپت میان وبگاهی پدید می‌آورند. محقق بن هایاک دو سال پیش در BlackHat Europe روی حفره‌های SOME کار می‌کرد و برخی از جزئیات فنی آن را در وبلاگی منتشر کرد. 

به‎روزرسانی وردپرس یک آسیب‎پذیری اسکریپت میان وبگاهی را نیز در Media Element.js وصله کرد. وردپرس گفت Media Element.js یک کتابخانه شخص ثالث برای اجراکنندگان رسانه‌هاست و این آسیب‎پذیری نیز تنها روی نسخه‌های ۴.۲ تا ۴.۵ تأثیر می‌گذارد.

وردپرس گفت که این به‎روزرسانی هم از طریق بارگیری و هم از طریق داشبورد مدیر قابل‌دسترسی است. وردپرس همچنین اطلاعیه‌ای در مورد آسیب‎پذیری IMageMagic که به‌تازگی کشف‌شده است منتشر کرده و به وب‌گاه‌های وردپرس که خود میزبان هستند توصیه کرد سریعاً آن را وصله کنند. این حفره‌ها می‌توانند موردحمله واقع‌شده و در بعضی موارد منجر به اجرای کد از راه دور شوند.

IMageMagic برنامه‌ی متن‎باز برای پردازش تصویر است که توسط تعدادی از افزونه‌های PHP،Ruby و node JS استفاده می‌شود. IMageMagic توصیه کرد که کد زیر را به .xml file این برنامه افزوده شود:

IMageMagic گفت: «با اصولی کردن پارامترهای HTTP و جلوگیری از خواندن غیرمستقیم، این رمزنگارها را در نسخه‌های ۶.۰.۱-۱ و ۶.۹.۳-۱۰ (که از اواخر این هفته در دسترس است) امن و بی‎خطر کردیم. اگر شما به رمزنگار‌های MVG، HTTP یا MSL نیاز دارید، روش بالا برای جلوگیری از سوءاستفاده‌های احتمالی کارآمد است».

خود وردپرس آلوده نشده است اما تصاویر بارگذاری شده ممکن است حاوی کد مخربی باشد که بتواند از حفره‌‌های کتابخانه سوءاستفاده کند. تنها کاربرانی که قابلیت بارگذاری پرونده دارند، اجازه دارند که پرونده‎ها را بارگذاری کنند؛ و البته تنها نویسندگان، ویرایشگران و مدیران به‌صورت پیش‎فرض این قابلیت رادارند و شرکت‌کنندگان، مشترکین و کاربران ناشناس نمی‌توانند از آن استفاده کنند.

وردپرس گفت: «این آسیب‎پذیری در افزونه Imagick PHP است و نه در خود وردپرس (یا هر کتابخانه دیگری که مربوط به وردپرس است). به علت استفاده گسترده از IMageMagic در وردپرس، تیم امنیتی وردپرس در حال کشف راهی برای برطرف نمودن آن هستند، اگرچه این آسیب‎پذیری در سطح میزبان به بهترین شکل کنترل می‌شود».