Gdy wtyczka „od bezpieczeństwa" sama wpuszcza włamywacza
Instalujesz wtyczkę „od bezpieczeństwa", żeby spać spokojnie. A potem okazuje się, że to właśnie ona zostawiła otwarte drzwi. Tak było z Really Simple Security (dawniej Really Simple SSL) pod koniec 2024 roku.
Co się stało
Wtyczka, zainstalowana na około 4 milionach stron, miała lukę w obsłudze logowania dwuetapowego (CVE-2024-10924). Przy odpowiednio spreparowanym zapytaniu napastnik mógł zalogować się jako dowolny użytkownik, wystarczyło, że znał lub zgadł login. A login administratora często nietrudno ustalić.
To jedna z tych luk, które specjaliści nazywają „najgorszym możliwym scenariuszem": obejście uwierzytelniania, zdalnie, bez hasła, na masową skalę. WordPress.org wymusił automatyczną aktualizację, żeby ograniczyć skutki.
Morał, który boli
Wtyczki bezpieczeństwa to też oprogramowanie, a każde oprogramowanie ma błędy. Sama instalacja „wtyczki od ochrony" nie jest tarczą. Liczy się to, czy wszystko jest aktualne i czy ktoś tego pilnuje.
Co robić
- Aktualizuj wtyczki bezpieczeństwa równie skrupulatnie jak resztę, a może i pilniej.
- Nie mnóż wtyczek „na wszelki wypadek". Trzy nakładające się wtyczki ochronne to trzy razy więcej kodu, który może mieć lukę.
- Włącz automatyczne aktualizacje przynajmniej dla krytycznych dodatków.
Bezpieczeństwo to nie „zainstaluj i zapomnij", tylko proces. W ramach stałej opieki trzymamy rękę na pulsie: śledzimy, które wtyczki mają świeżo wykryte luki, i reagujemy od razu, sprawdź, jak.
Źródło: NVD, CVE-2024-10924.