WordPress виправила баг із SQL-ін’єкцією терміновим оновленням


Дізнайтесь більше про нові кар'єрні можливості в EchoUA. Цікаві проекти, ринкова оплата, гарний колектив. Надсилайте резюме та приєднуйтеся до нас.

Уразливість виявлена в системі управління контентом WordPress версії 4.8.2 і нижче. У вівторок WordPress оголосила про випуск версії 4.8.3, в якій небезпека зменшена. Представник CMS наполегливо рекомендує користувачам негайно встановити оновлення.

У чому причина вразливості?

Уразливість CVE-2017-14723 виникає у версіях WordPress 4.8.2 і нижче через те, що $wpdb ->prepare () створює “несподівані й небезпечні запити”, які можуть призвести до SQL-атак.

За словами команди WordPress, до безпосередньої небезпеки ядро WordPress не схильне, проте в новій версії буде доданий додатковий захист, на випадок, якщо плагіни або теми випадково спровокують прояв цієї вразливості.

Про цю проблему 20 вересня на платформі HackerOne повідомив Ентоні Феррара. Розробники WordPress вже намагалися виправити цю помилку у версії 4.8.2, проте безпека ядра так і не була забезпечена. Оновлення вплинуло на функціональність багатьох веб-сайтів, потенційно скомпрометувавши більше як 1,2 млн рядків коду.

Наступного дня після релізу Феррара повідомив про помилку, проте на його запит декілька тижнів не звертали увагу. Тільки після того, як Феррара повідомив команду WordPress про те, що він збирається публічно розкрити цю проблему, і через п’ять тижнів перемовин, вони змогли домовитися про час публічного оголошення.

WordPress у співпраці з Феррарою випустила виправлення, яке полегшує проблему. Проте, за словами все того ж Феррари, цього недостатньо, щоб вирішити проблеми, спричинені попереднім патчем.

Можливе розв’язання проблеми

Феррара наголосив:

Поточне виправлення повністю усуває механізм prepare, який повертає рядок SQL-запитів. Зробіть те, що роблять і всі інші: повертайте об’єкт вираження або запиту, або виконуйте запит безпосередньо. Так Ви не зможете продублювати рядок.

Варто зазначити, що це рішення обумовить кардинальні зміни для WP.

Не обов’язково відразу все змінювати – можна розробляти альтернативне рішення паралельно з наявним API. Це буде проблематично, але необхідно.

Наявний API небезпечний. Це не означає, що він постійно піддається атакам, але означає, що він потребує термінової переробки.

“Небезпека знижена, – додав Феррара. – Спочатку перспектива співпраці не вселяла оптимізму, але під час виконання роботи стан покращувався. Якщо попередні 6 тижнів я був розчарований, то тепер сподіваюся на краще”.

Установити оновлення можна автоматично або вручну, скачавши WordPress 4.8.3.

Джерело: ZDNet

Київ, Харків, Одеса, Дніпро, Запоріжжя, Кривий Ріг, Вінниця, Херсон, Черкаси, Житомир, Хмельницький, Чернівці, Рівне, Івано-Франківськ, Кременчук, Тернопіль, Луцьк, Ужгород, Кам'янець-Подільський, Стрий - за статистикою саме з цих міст програмісти найбільше переїжджають працювати до Львова. А Ви розглядаєте relocate?


Залишити відповідь

Ваша e-mail адреса не оприлюднюватиметься. Обов’язкові поля позначені *