WordPress大事:研究人员发现了5000个安全漏洞

WordPress大事:研究人员发现了5000个安全漏洞

WordPress插件生态系统的安全性可能比许多人所担心的要差得多,因为新的研究表明,世界上最流行的内容管理系统的成千上万的附件容易受到基于Web的攻击。

在对84,508个WordPress插件进行了分析之后,西班牙安全研究人员Jacinto Sergio Castillo Solana和Manuel Garcia Cardenas发现了5,000多个漏洞,其中包括4,500个SQL注入(SQLi)漏洞。

分析的许多插件显示了多个漏洞,范围从跨站点脚本(XSS)和本地文件包含以及SQLi。

在分析的84,000个WordPress插件中,共有1,775个具有易于识别的软件错误。

“我们在同一个插件中发现了多达250个不同漏洞的插件,” Garcia告诉The Daily Swig。“在我们的研究中,最易受攻击的插件是电子商务的插件。”

误报

网络托管和服务公司34SP.com的WordPress平台负责人蒂姆·纳什(Tim Nash)欢迎两位安全研究人员的工作,但对潜在的误报表示担忧。

“自动化工具是测试漏洞的一种非常有价值的方法,有效地使用它可以帮助开发人员快速有效地进行修补。Nash告诉The Daily Swig,纯粹依靠自动化工具来报告漏洞并不是我提交报告的选择。

“如果他们经历并查看并确认了所有5,000个漏洞,那么我的帽子就会落在他们身上,否则,我怀疑误报率很高。

他补充说:“看来他们正在谈论具有5,000多个漏洞的1,775个插件,因此我再次怀疑,由于其自​​动化的特性,它们可能会遇到相同的漏洞,并在每次引用时都将其归类为新漏洞。”

尽管存在这些疑虑,纳什还是澄清说,他仍然认为这项研究值得。

WordPress和infosec社区的活跃成员Nash指出:“这些都不是剥夺成就或所做的研究,他们发现存储库中有2%的插件存在潜在的漏洞。”

我们要求Garcia确认发现的WordPress漏洞已经过手动验证。

加西亚回答说:“我们已经手动验证了一些,并说其中大多数是脆弱的。我们没有包含转义特殊字符的功能……我们仅确定了未经验证参数的易受攻击的插件。”

“我们知道可能存在误报,但我们不包含带有验证功能(例如esc_sql()或htmlspecialshars())的代码行作为漏洞,因此我们不存在超过5,000个可能的漏洞,但主要是开发人员不会验证SQL注入。”

根目录

上周末,两位西班牙研究人员在RootedCON网络安全大会上介绍了他们的发现。

他们俩开发了一种名为WordPress Terror的代码分析工具,用于分析插件。根据Garcia的说法,目前没有立即计划向更广泛的社区发布WordPress Terror。

根据纳什的说法,WordPress Terror在发现真正缺陷方面的效用尚未得到独立确定,他敦促安全研究人员将其工具发布给更广泛的社区。

纳什说:“所以,在舞台上看起来不错,在第一次检查时听起来很吓人,但是如果没有基础数据甚至是样本,我也无法发表评论。”

“有趣的是,如果他们释放工具并允许人们查看他们如何收集数据,因为这可能真的有用。”

安全错误分类

尽管WordPress平台本身的严重缺陷很少见,但涉及WordPress插件的漏洞已成为影响网站的次要问题的有据可查的来源。

在WordPress Terror研究的情况下,跨多个WordPress插件重复了许多类型的编码错误,从而产生了多个类似漏洞的实例。

Garcia解释说:“这是因为开发人员不验证执行功能的参数(GET,POST,REQUEST),例如在SELECT sql查询中,他们输入带有未验证的GET参数的ID参数,从而允许进行SQL注入。”

卡斯蒂略(Castillo)和加西亚(Garcia)已向WordPress安全团队披露了他们的发现。Garcia拒绝谈论受影响的插件,直到该过程的结果,他说有些插件已经“安装了数千个”。

“我们决定研究WordPress插件,因为35%的互联网网站使用WordPress,而最薄弱的环节是插件,”加西亚总结道。

“该工具已经分析了在WordPress官方网站上发布的84,000个插件,我们还分析了所有人的代码,从而获得了大量漏洞。

“此外,我们都列出了所有版本,我们希望在一年内进行另一次演示,以查看漏洞是否已修复,并与WordPress团队合作以帮助他们。”

发表评论

电子邮件地址不会被公开。 必填项已用*标注

回到顶部

QQ群962782975