WordPress部署强制性安全更新以解决流行插件中的危险漏洞

WordPress部署强制性安全更新以解决流行插件中的危险漏洞

超过一百万的WordPress网站正在运行易受攻击的Loginizer插件版本[低版本]。

WordPress安全团队上周采取了罕见的措施,并利用鲜为人知的内部功能强行为流行插件推送了安全更新。

运行Loginizer插件的WordPress网站本周已强制更新为Loginizer版本1.6.4。

此版本包含针对危险的SQL注入漏洞的安全修复程序,该漏洞可能使黑客能够接管运行旧版Loginizer插件的WordPress网站。

Loginizer 是当今最受欢迎的WordPress插件之一,拥有超过一百万个站点的安装库。

该插件为WordPress登录页面提供了安全性增强。根据其官方描述,Loginizer可以将访问WordPress登录页面的IP地址列入黑名单或白名单,可以添加对双因素身份验证的支持,还可以添加简单的验证码以阻止自动登录尝试,以及其他许多功能。

在LOGINIZER中发现SQL注入

本周,安全研究员Slavco Mihajloski 披露 了Loginizer插件中的一个严重漏洞。

根据 WPScan WordPress漏洞数据库提供的 描述,此安全漏洞驻留在Loginizer的暴力破解保护机制中,默认情况下,该机制对安装了Loginizer的所有站点都启用。

要利用此错误,攻击者可以尝试使用格式错误的WordPress用户名(其中可以包含SQL语句)登录WordPress网站。

身份验证失败时,Loginizer插件会将失败的尝试以及失败的用户名记录在WordPress网站的数据库中。

但是,正如Slavco和WPScan解释的那样,该插件不会清理用户名,而不会保留SQL语句,从而允许远程攻击者针对WordPress数据库运行代码-安全研究人员将其称为未经身份验证的SQL注入攻击。

WPScan的创始人兼首席执行官Ryan Dewhurst 在一封电子邮件中告诉ZDNet: “它允许未经身份验证的攻击者完全破坏WordPress网站 。”

Dewhurst还指出,Mihajloski在 今天早些时候发表的详细文章中提供了一个简单的概念验证脚本 。

Dewhurst说:“这使具有基本命令行技能的任何人都可以完全破坏WordPress网站。”

强制插件更新受到公众的强烈反对

该错误是近年来在WordPress插件中发现的最严重的安全问题之一,这就是WordPress安全团队似乎决定决定将Loginizer 1.6.4补丁强制推到所有受影响的网站的原因。

Dewhurst告诉 ZDNet ,此“强制插件更新”功能自2013年发布的v3.7开始就已存在于WordPress代码库中。但是,它很少使用。

Dewhurst说:“我本人于2015年在流行的Yoast SEO WordPress插件中发现了一个漏洞,虽然已被强制更新。尽管如此,我发现的漏洞并不像在Loginizer WordPress插件中发现的漏洞那么危险。”

WPScan创始人补充说:“我不知道有任何其他[强制插件更新的情况],但是很可能还有其他情况。“

但是有一个原因,为什么WordPress安全团队不对所有插件漏洞都使用此功能,而仅将其用于不良bug。

上周,Loginizer 1.6.4补丁开始进入WordPress网站后,用户开始在WordPress.org存储库上的插件论坛上抱怨。

“Loginizer已从1.6.3更新到1.6.4,虽然自动我没有激活这个新的WordPress的选项。这怎么可能?”

另一位发言人说:“我也有同样的问题。我所照顾的3个网站都发生过此事,但这些网站都没有设置为自动更新。”

在2015年Dewhurst首次看到WordPress团队部署的插件强制更新功能时,也看到了类似的负面反馈。

我想得越多,WP SEO的自动更新就越令人恼火。

Dewhurst认为该功能并未得到更广泛的使用,因为WordPress团队担心“将损坏的补丁推给那么多用户的风险”。

WordPress核心开发人员塞缪尔·伍德(Samuel Wood)本周表示,该功能已“多次使用”,但未提供有关使用该功能的其他实例的详细信息。自2015年 以来,另一位WordPress开发人员表示,该插件强制更新功能自2013年推出以来使用 了五次,确认该功能仅用于严重的bug,这些bug影响数百万个网站,而不仅仅是任何插件漏洞。

from