비디오: [ì¤íì¸í°ë·°]'ê°ìí ì¤í 리ì§'(IP SAN)ì ê´í 5ê°ì§ ê¶ê¸ì¦ (12 월 2024)
WordPress 사이트를 소유 한 경우 핵심 플랫폼뿐만 아니라 모든 테마 및 플러그인에 대한 업데이트를 최신 상태로 유지하십시오.
WordPress는 전 세계 7 천만 개가 넘는 웹 사이트를 지원하므로 사이버 범죄자에게 매력적인 대상입니다. 공격자는 종종 취약한 WordPress 설치를 가로 채서 스팸 페이지 및 기타 악성 콘텐츠를 호스팅합니다.
연구원들은 지난 몇 주 동안이 인기있는 WordPress 플러그인에서 여러 가지 심각한 취약점을 발견했습니다. 관리자 대시 보드를 확인하고 최신 버전이 설치되어 있는지 확인하십시오.
1. MailPoet v2.6.7 사용 가능
웹 보안 회사 Sucuri의 연구원은 WordPress 사용자가 뉴스 레터를 작성하고, 알림을 게시하고, 자동 응답자를 작성할 수있는 플러그인 인 MailPoet에서 원격 파일 업로드 결함을 발견했습니다. 이전에 wysija-newsletters로 알려진이 플러그인은 170 만 회 이상 다운로드되었습니다. 개발자는 버전 2.6.7에서 결함을 패치했습니다. 이전 버전은 모두 취약합니다.
수 큐리의 최고 기술 책임자 인 다니엘 시드 (Daniel Cid)는 화요일 블로그 포스트에서 "이 버그는 심각하게 받아 들여 져야한다. 잠재적 침입자는 피해자의 웹 사이트에서 원하는 것을 할 수있는 힘을 준다"고 말했다. "모든 PHP 파일을 업로드 할 수 있습니다.이를 통해 공격자는 웹 사이트를 사용하여 피싱 루어, 스팸 발송, 맬웨어 호스팅, 다른 고객 (공유 서버) 감염 등을 할 수 있습니다!"
이 취약점은 파일을 업로드하기 위해 특정 호출을하는 사람이 실제로 사용자 인증 여부를 확인하지 않고 관리자라고 가정했습니다. Cid는“이것은 쉬운 실수이다.
2. TimThumb v2.8.14 사용 가능
지난주 한 연구원은 사용자가 이미지를 자동으로 자르고, 확대하고, 크기를 조정할 수있는 플러그인 인 TimThumb v2.8.13의 심각한 취약점에 대한 세부 정보를 발표했습니다. Ben Gillbanks 인 TimThumb의 개발자는 2.8.14 버전의 결함을 수정했으며 현재 Google 코드에서 사용할 수 있습니다.
Sucuri의 분석에 따르면이 취약점은 TimThumb의 WebShot 기능에 있었으며, 인증을받지 않은 공격자는 취약한 사이트에 악성 코드를 주입하여 원격으로 페이지를 제거하고 콘텐츠를 수정할 수있었습니다. WebShot을 사용하면 원격 웹 페이지를 가져 와서 스크린 샷으로 변환 할 수 있습니다.
Cid는 "간단한 명령으로 공격자가 서버의 모든 파일을 생성, 제거 및 수정할 수 있습니다"라고 말했습니다.
WebShot은 기본적으로 활성화되어 있지 않으므로 대부분의 TimThumb 사용자는 영향을받지 않습니다. 그러나 WordPress 테마, 플러그인 및 기타 타사 구성 요소가 TimThumb를 사용하기 때문에 원격 코드 실행 공격의 위험이 남아 있습니다. 사실, 전체 공개 목록의 결함을 밝힌 연구원 인 Pichaya Morimoto는 WordThumb 1.07, WordPress Gallery Plugin 및 IGIT Posts Slider Widget이 themify.me 사이트의 테마뿐만 아니라 취약 할 수 있다고 말했습니다.
WebShot을 활성화 한 경우 테마 또는 플러그인의 timthumb 파일을 열고 WEBSHOT_ENABLED 값을 false로 설정하여 비활성화해야합니다 (Sucuri 권장).
실제로 TimThumb을 계속 사용하는 경우 단계적으로 제거 할 때입니다. Incapsula의 최근 분석에 따르면 WordPress 사이트에 대한 모든 원격 파일 포함 공격의 58 %가 TimThumb과 관련이있는 것으로 나타났습니다. 핵심 WordPress 플랫폼이 포스트 썸네일을 지원하므로 Gillbanks는 2011 년 이후 (제로 데이 수정을 위해) TimThumb를 유지하지 않았습니다.
"저는 2011 년 이전 TimThumb 보안 공격 이전부터 WordPress 테마에 TimThumb를 사용하지 않았습니다."라고 Gillbanks는 말했습니다.
3. 유효한 1 개의 SEO 팩 v2.1.6에서 모두
6 월 초, Sucuri 연구원은 All in ONE SEO Pack의 권한 에스컬레이션 취약점을 공개했습니다. 이 플러그인은 검색 엔진 용 WordPress 사이트를 최적화하며, 이 취약점으로 인해 관리자 권한 없이도 제목, 설명 및 메타 태그를 수정할 수 있습니다. Sucuri는이 버그는 악의적 인 JavaScript 코드를 사이트 페이지에 주입하고 "관리자의 계정 암호를 변경하여 웹 사이트 파일에 백도어를 남겨 두는 등의 일을 수행"하기 위해 두 번째 권한 에스컬레이션 결함 (또한 수정 됨)으로 연결될 수 있습니다.
일부 추정에 따르면, 약 1, 500 만 개의 WordPress 사이트가 All in One SEO Pack을 사용합니다. 플러그인을 관리하는 회사 인 Semper Fi는 지난달 2.1.6에서 수정 사항을 발표했습니다.
4. 로그인 리 빌더 v1.2.3 사용 가능
지난 주 US-CERT 사이버 보안 게시판에는 WordPress 플러그인에 영향을주는 두 가지 취약점이 포함되었습니다. 첫 번째는 Login Rebuilder 플러그인의 사이트 간 요청 위조 결함으로 공격자가 임의의 사용자 인증을 가로 챌 수 있습니다. 기본적으로 사용자가 WordPress 사이트에 로그인 한 상태에서 악의적 인 페이지를 본 경우 공격자는 세션을 가로 챌 수 있습니다. National Vulnerability Database에 따르면 인증이 필요하지 않은 공격은 정보의 무단 공개, 사이트 수정 및 중단을 초래할 수 있습니다.
버전 1.2.0 및 이전 버전은 취약합니다. 개발자 12net은 지난주 새로운 버전 1.2.3을 발표했습니다.
5. JW Player v2.1.4 이용 가능
US-CERT 게시판에 포함 된 두 번째 문제는 JW 플레이어 플러그인의 사이트 간 요청 위조 취약점입니다. 이 플러그인을 통해 사용자는 YouTube 세션뿐만 아니라 Flash 및 HTML5 오디오 및 비디오 클립을 WordPress 사이트에 포함 할 수 있습니다. 공격자는 악의적 인 사이트를 방문하도록 속이는 관리자의 인증을 원격으로 가로 채고 사이트에서 비디오 플레이어를 제거 할 수 있습니다.
버전 2.1.3 이하는 취약합니다. 개발자는 지난 주 버전 2.1.4에서 결함을 수정했습니다.
정기적 인 업데이트가 중요합니다
작년에 Checkmarx는 WordPress 용으로 가장 많이 다운로드 된 50 개의 플러그인과 상위 10 개의 전자 상거래 플러그인을 분석하여 플러그인의 20 %에서 SQL 삽입, 사이트 간 스크립팅 및 사이트 간 요청 위조와 같은 일반적인 보안 문제를 발견했습니다.
지난 주 Sucuri는 "수천 개의"WordPress 사이트가 해킹되었고 스팸 페이지가 서버의 wp-includes 핵심 디렉토리에 추가되었다고 경고했습니다. Cid는“Spam 페이지는 wp-includes 내의 임의의 디렉토리 안에 숨겨져있다. 페이지는 예를 들어 / wp-includes / finance / paydayloan에 있습니다.
Cid는 Sucuri는 이러한 사이트가 어떻게 손상되었는지에 대한 "확실한 증거"를 갖고 있지 않지만 "거의 모든 경우에 웹 사이트에서 오래된 WordPress 설치 또는 cPanel을 실행하고 있습니다"라고 말합니다.
WordPress에는 핵심 파일뿐만 아니라 플러그인에 대한 상당히 고통스러운 업데이트 프로세스가 있습니다. 사이트 소유자는 정기적으로 모든 업데이트에 대한 업데이트를 확인하고 설치해야합니다. 알 수없는 파일이 저장되지 않도록 wp-includes와 같은 모든 디렉토리를 점검하는 것도 좋습니다.
Cid는“웹 사이트 소유자가 원하는 마지막 것은 나중에 자사 브랜드와 시스템 리소스가 악의적 인 행위에 사용되었다는 사실을 알아내는 것입니다.
