Критические уязвимости, обнаруженные в популярной системе управления сайтами WordPress, поставили под угрозу миллионы сайтов по всему миру.
Две серьёзные уязвимости, позволяющие злоумышленникам взломать любой сайт под управлением WordPress, были выявлены финской компанией Klikki Oy.
Благодаря им хакеры могут получить контроль над административной панелью и даже над веб-сервером, на котором запущен WordPress. Под угрозой, в первую очередь, оказалась последняя версия системы — WordPress 4.2. Обе уязвимости принадлежат к классу межсайтового скриптинга (XSS) и связаны с ошибками в секции комментариев. Для того чтобы получить контроль над сайтом, хакерам достаточно скопировать вредоносный код в секцию комментариев любого сайта, использующего WordPress.
После этого комментарий должен быть дополнен любыми символами до 66 000 знаков, что сделает его размер равным 64 Кбайт. Такой размер базе данных WordPress обработать не под силу, поэтому комментарий будет опубликован в усечённом виде и будет содержать вредоносный скрипт. Вслед за этим у злоумышленников появится возможность запускать любой код на веб-сервере страницы.
Имея возможность запускать вредоносный код на сайте, хакеры за очень короткое время могут получить полный контроль над сайтом. Кроме того, защита данных пользователей окажется в их руках. После обнаружения уязвимости WordPress выпустила патч с исправлениями для версии 4.2.1. Обеспечение информационной безопасности сайтов, которые используют более раннюю версию системы, по-прежнему остается под угрозой.
В начале этого месяца Федеральное бюро расследований США опубликовало предупреждение о массовых атаках на сайты, работающие под управлением платформы WordPress. Атаки осуществлялись через эксплуатацию уязвимостей в плагинах к WordPress, проводятся от имени хакерской группы, указывающей на свою принадлежность к Исламскому государству, и приводят к замене содержимого основной страницы.
