Miliony stron łatwo zawiesić. Twórcy WordPressa zamiast łatki mają dobrą radę

W ostatni poniedziałek badacze z firmy Imperva odkryli wkluczowych modułach używanych do ładowania plików JS i CSSpodatność na ataktypu DoS. Otrzymał on oznaczenie CVE-2018-6389. Za pomocąprostego skryptu można praktycznie sparaliżować działanie stronyinternetowej, zmuszając WordPressa do nieustannego serwowaniadługiej listy plików JS/CSS podczas ładowania się strony.Normalnie podatne moduły dostępne są tylko dla zalogowanychużytowników, ale jak się okazało, są one dostępne także przezstronę logowania, ujawniającą je także użytkownikomniezalogowanym.

Jak sprawdziliśmy, wystarczy kilkanaście sekund, by strona naWordPressie działająca na typowym współdzielonym hostinguprzestała działać od przykładowych exploitów, opublikowanych jużna GitHubiei w Exploit-DB.

Zespół WordPressa odmówił załatania tej luki, uznając żesprowadza się ona jedynie do wyczerpania zasobów i jako takapowinna być blokowania na poziomie sieciowego czy aplikacyjnegofirewalla. Sami odkrywcy radzą, by w tej sytuacji ustawićograniczenia dostępu na pliki load-styles.php i load-scripts.phptylko dla zaufanych adresów IP. Na GitHubie pojawił się teżskryptw bashu, który łata lukę, pozwalając jedynie adminom nawysyłanie żądań do podatnych modułów i usuwa dostęp do nich zestrony logowania.

Sęk w tym, że zastosowanie takiej łatki wychodzi pozamożliwości znacznej grupy użytkowników wordpressowych witryn,którzy w najlepszym razie umieją kliknąć przycisk Aktualizuj.Jednak i nawet ci bardziej kompetentni niewiele zrobią, jeśli niebędą mieli dostępu do systemowej powłoki, jak to zwykle jest wwypadku współdzielonego hostingu.

Tego samego dnia co informacja o podatności na CVE-2018-6389wyszła taka sobie mała aktualizacja WordPressa, oznaczona numerem4.9.3. Miała ona naprawić kilka pomniejszych usterek – i wszędzietam, gdzie użytkownicy ustawili sobie automatyczne aktualizacje,została pobrana i zainstalowana. Zadziałała, drobne błędypoprawiła, jednocześnie doszczętnie psując system automatycznychaktualizacji. Oznacza to, że dla wielu nieserwisowanych witryn,wersja 4.9.3 WordPressa będzie ostatnią – późniejszych już niezobaczą.

Gdy zespół odpowiedzialny za bezpieczeństwo WordPressazorientował się, co zrobił, było już za późno – praktyczniewszystkie automatycznie aktualizujące się instancje były jużpopsute. W tej sytuacji pozostało jedynie wydać wersję4.9.4, i poprosić użytkowników o ręczną aktualizację zpoziomu kokpitu WordPressa.

Wersja 4.9.4 też jednak nie uodparnia witryn na atak 0-day.Możemy się więc spodziewać w najbliższym czasie licznych próbDOS-ów na wordpressowe witryny, czy to z potrzeby wandalizmu, czynp. chęci zaszkodzenia konkurencji. Nierzadko przecież naWordPressie stawia się przecież całe sklepy internetowe – ajeśli łatwo można sklep internetowy konkurencji wysłać naodpoczynek…