حفره امنیتی خطرناک در وردپرس
وردپرس
پس از بلاگر گوگل محبوب‌ترین سرویس‌دهنده مدیریت محتوای وب‌سایت‌ها است.
این سرویس محبوب جدای از این‌که همچون سایر سرویس‌های مدیریت محتوا به دلیل
رواج شبکه‌های اجتماعی و کم رونق شدن وبلاگ نویسی، بخشی از کاربران خود را
از دست داده است در یک سال اخیر درگیر چند مشکل امنیتی هم شده است.
در تازه‌ترین مورد، یک حفره امنیتی بسیار مهم در بیشتر نسخه‌های یکی از پلاگین‌های این سرویس به نام WP-Slimstat دیده شده است که می‌تواند موجب شود هکرها با نفوذ از طریق آن، کل وب‌سایت را در کنترل خود گرفته و از دسترس کاربر خارج کنند.
بنا بر نوشته وبلاگی شرکت امنیتی Sucuri که روز سه‌شنبه، دیروز، منتشر شد نسخه‌های پیش از به‌روز رسانی آخر این پلاگین، یعنی نسخه ۳.۹.۶، دارای یک کلید به آسانی قابل حدس زدن هستند که برای امضا و تائید اطلاعاتی استفاده می‌شود که به صورت محرمانه از کامپیوتر نهایی (دستگاه کاربر مشاهده کننده) ارسال شده و یا به آن فرستاده می‌شود.
این شرکت می‌گوید که نتیجه سهولت دسترسی به کلید مزبور، در اختیار داشتن یک کد SQL قابل کاربرد است که می‌تواند برای دسترسی به اطلاعات خیلی حساس کاربر و سیستم همچون کلمات رمز عبور رمزگذاری شده و کلیدهای رمزگشایی مورد استفاده قرار گیرد. با این اطلاعات، کنترل کامل وب‌سایت قربانی از راه دور برای هکرها ممکن می‌شود.
این‌ها را هم ببینید: ۱۰۰ هزار وب‌سایت در وردپرس آلوده شدند
بهایی که برای قالب‌های «رایگان» وردپرس می‌پردازیم
پروفایل‌های وردپرس در معرض هک شدن
به این ترتیب به عنوان اولین گام، اگر وب‌سایت شما وردپرسی است و از نسخه‌های پیش از به‌روز رسانی آخر پلاگین WP-Slimstat استفاده می‌کند، پیش از هر چیز باید بدانید که در خطر هک کامل هستید و باید یا پلاگین مورد نظر را غیرفعال کنید و یا آن را به نسخه ۳.۹.۶ به‌روز رسانی کنید.
پژوهشگر ارشد موسسه Sucuri می‌نویسد که حملات موفق با استفاده از این آسیب‌پذیری می‌تواند منجر به حملات کور SQL و نفوذ به سیستم قربانی شود که به هکر امکان می‌دهد اطلاعات حساس کاربر همچون اسامی کاربری، رمزهای عبور و حتی در شرایط خاص، کلیدهای امنیتی اختصاصی وردپرس را به سرقت ببرد و کنترل وب‌سایت را به طور کامل در کنترل بگیرد.
دسترسی به کلید رمز پلاگین از برچسب زمانی نصب پلاگین عبور می‌کند و یک مهاجم می‌تواند از آرشیو اینترنت یا وب‌سایت‌های مشابه، سال دقیق تاسیس وب‌سایت آسیب‌پذیر را مشخص کند. پس از این مرحله، هکر حدود ٣٠ میلیون واحد مختلف را که کامل کردنش تنها ١٠ دقیقه طول می‌کشد آزمایش می‌کند تا به کلید مخفی برسد و سپس از آن برای استخراج اطلاعات از پایگاه داده‌های سیستم استفاده می‌کند.
پلاگین WP-Slimstat یک ابزار تجزیه و تحلیل ترافیک وب‌سایت است که بنا بر آمار موجود در وردپرس بیش از ١.٣ میلیون بار دانلود شده است. تکرار می‌کنم که اگر از وردپرس استفاده می‌کنید و از این پلاگین هم بهره می‌برید، سریعا آن را غیرفعال کرده و یا به‌روز رسانی کنید.
بنا بر آخرین به‌روز رسانی صورت گرفته در وب‌سایت ارس‌تکنیکا که منبع این گزارش است، منابع نزدیک به وردپرس تائید کرده‌اند که نزدیک به ١٠٠ هزار وب‌سایت وردپرسی از این حفره امنیتی آسیب دیده‌اند.
منبع: ارس‌تکنیکا
در تازه‌ترین مورد، یک حفره امنیتی بسیار مهم در بیشتر نسخه‌های یکی از پلاگین‌های این سرویس به نام WP-Slimstat دیده شده است که می‌تواند موجب شود هکرها با نفوذ از طریق آن، کل وب‌سایت را در کنترل خود گرفته و از دسترس کاربر خارج کنند.
بنا بر نوشته وبلاگی شرکت امنیتی Sucuri که روز سه‌شنبه، دیروز، منتشر شد نسخه‌های پیش از به‌روز رسانی آخر این پلاگین، یعنی نسخه ۳.۹.۶، دارای یک کلید به آسانی قابل حدس زدن هستند که برای امضا و تائید اطلاعاتی استفاده می‌شود که به صورت محرمانه از کامپیوتر نهایی (دستگاه کاربر مشاهده کننده) ارسال شده و یا به آن فرستاده می‌شود.
این شرکت می‌گوید که نتیجه سهولت دسترسی به کلید مزبور، در اختیار داشتن یک کد SQL قابل کاربرد است که می‌تواند برای دسترسی به اطلاعات خیلی حساس کاربر و سیستم همچون کلمات رمز عبور رمزگذاری شده و کلیدهای رمزگشایی مورد استفاده قرار گیرد. با این اطلاعات، کنترل کامل وب‌سایت قربانی از راه دور برای هکرها ممکن می‌شود.
این‌ها را هم ببینید: ۱۰۰ هزار وب‌سایت در وردپرس آلوده شدند
بهایی که برای قالب‌های «رایگان» وردپرس می‌پردازیم
پروفایل‌های وردپرس در معرض هک شدن
به این ترتیب به عنوان اولین گام، اگر وب‌سایت شما وردپرسی است و از نسخه‌های پیش از به‌روز رسانی آخر پلاگین WP-Slimstat استفاده می‌کند، پیش از هر چیز باید بدانید که در خطر هک کامل هستید و باید یا پلاگین مورد نظر را غیرفعال کنید و یا آن را به نسخه ۳.۹.۶ به‌روز رسانی کنید.
پژوهشگر ارشد موسسه Sucuri می‌نویسد که حملات موفق با استفاده از این آسیب‌پذیری می‌تواند منجر به حملات کور SQL و نفوذ به سیستم قربانی شود که به هکر امکان می‌دهد اطلاعات حساس کاربر همچون اسامی کاربری، رمزهای عبور و حتی در شرایط خاص، کلیدهای امنیتی اختصاصی وردپرس را به سرقت ببرد و کنترل وب‌سایت را به طور کامل در کنترل بگیرد.
دسترسی به کلید رمز پلاگین از برچسب زمانی نصب پلاگین عبور می‌کند و یک مهاجم می‌تواند از آرشیو اینترنت یا وب‌سایت‌های مشابه، سال دقیق تاسیس وب‌سایت آسیب‌پذیر را مشخص کند. پس از این مرحله، هکر حدود ٣٠ میلیون واحد مختلف را که کامل کردنش تنها ١٠ دقیقه طول می‌کشد آزمایش می‌کند تا به کلید مخفی برسد و سپس از آن برای استخراج اطلاعات از پایگاه داده‌های سیستم استفاده می‌کند.
پلاگین WP-Slimstat یک ابزار تجزیه و تحلیل ترافیک وب‌سایت است که بنا بر آمار موجود در وردپرس بیش از ١.٣ میلیون بار دانلود شده است. تکرار می‌کنم که اگر از وردپرس استفاده می‌کنید و از این پلاگین هم بهره می‌برید، سریعا آن را غیرفعال کرده و یا به‌روز رسانی کنید.
بنا بر آخرین به‌روز رسانی صورت گرفته در وب‌سایت ارس‌تکنیکا که منبع این گزارش است، منابع نزدیک به وردپرس تائید کرده‌اند که نزدیک به ١٠٠ هزار وب‌سایت وردپرسی از این حفره امنیتی آسیب دیده‌اند.
منبع: ارس‌تکنیکا
هیچ رأیی داده نشده
هیچ نظری موجود نیست:
ارسال یک نظر