Jak jedna luka podmieniła treść 1,5 miliona stron WordPress
Wyobraź sobie, że ktoś z drugiego końca świata może wejść na Twoją stronę i podmienić treść dowolnego wpisu, bez hasła, bez konta, jednym zapytaniem. Brzmi jak film? To się wydarzyło naprawdę.
Co się stało
WordPress 4.7 wprowadził nowe REST API, interfejs, przez który aplikacje „rozmawiają" ze stroną. W kontroli uprawnień był błąd (CVE-2017-1001000): sprytnie spreparowany adres omijał sprawdzenie, kto ma prawo edytować treść. Efekt, każdy mógł nadpisać dowolny wpis lub podstronę.
Luka dotyczyła wersji 4.7.0 i 4.7.1. Zespół WordPress załatał ją po cichu w 4.7.2, dając stronom czas na aktualizację. Gdy szczegóły wyszły na jaw, ruszyła lawina.
Skala
W ciągu kilku dni zautomatyzowane boty zdefaced-owały ponad 1,5 miliona podstron na kilkudziesięciu tysiącach witryn. Zamiast oferty czy bloga pojawiały się podpisy grup „hakerskich". Dla firmy oznaczało to kompromitację przed klientami i spadek w Google.
Czego to uczy
Najważniejsze: strona była bezpieczna tylko do momentu aktualizacji rdzenia. Kto zwlekał z kliknięciem „aktualizuj", ten oberwał.
- Włącz automatyczne aktualizacje rdzenia WordPress (drobne wydania i tak instalują się same, nie blokuj tego).
- Rób kopię zapasową przed każdą większą aktualizacją.
- Jeśli nie masz czasu tego pilnować, zleć to komuś, luki nie czekają na dogodny moment.
To nie była wina „dziurawej wtyczki" ani użytkownika. To był rdzeń najpopularniejszego CMS-a na świecie. Dlatego w ramach opieki aktualizujemy strony, zanim luka stanie się nagłówkiem, napisz do nas, sprawdzimy Twoją.
Źródło: NVD, CVE-2017-1001000.