הסבר על חור אבטחה בוורדפרס Unauth. Blind SSRF vulnerability

• פורסם: 05/01/2023
• 2 דקות

מבוא

בזמן האחרון לא מעט לקוחות שאלו אותנו על חור אבטחה שרואים בכלי של Wordpress Toolkit אשר מדווח על חור אבטחה בליבת וורדפרס, ונמצא שם זמן רב, אך ללא אפשרות תיקון.

הסבר על חור אבטחה בוורדפרס Unauth. Blind SSRF vulnerability

סיימון ותומאס גילו ודיווחו על פגיעות זו של Server Side Request Forgery (SSRF) בוורדפרס. זה עלול לאפשר לגולש זדוני לגרום לאתר לבצע בקשות לאתר דומיין שרירותי של התוקף.

פגיעה זו עלולה לאפשר לגולש זדוני למצוא מידע רגיש.

הסבר יותר פשוט - 

אתר וורדפרס יכול להיגרם לבצע בקשות למערכות ברשת פנימית כדי לחשוף מידע רגיש של השרת עם זיוף צד שרת עיוור (SSRF) באמצעות DNS Rebinding.

האם יש תיקון לחור אבטחה זה Unauth. Blind SSRF vulnerability?

לחור אבטחה זה נכון לגרסאות וורדפרס 6.1.1 ומטה, אין תיקון בעדכון וורדפרס שסוגר את חור אבטחה זה.

האם יש Workaround לסגירת חור אבטחה בוורדפרס של Blind SSRF vulnerability?

אין דרך מלאה לאבטח ולהתגונן מפני חור אטחה זו, אך חור אבטחה זה מסתמך בעיקר על xmlrpc או פינגבאקים של וורדפרס.

הדרכים להגביר את ההתגוננות מפני התקפה זו, היא להשבית את xmlrpc וpingbacks של וורדפרס,

ניתן להשבית אותם בקלות דרך Wordpress Manager בסיפאנל ע"י Security measures - איך להגיע לעמוד הגברת אבטחת וורדפרס בסיפאנל

בפופ-אפ אשר נפתח של  Security measures, אנו נסמן השבתה של xmlrpc + pingbacks -

ונלחץ על הכפתור "Apply".

הערה ~

כיבוי/השבתת xmlrpc וpingbacks, יכולה להשפיע על תוספים המסתמכים על הapi הפינימי של וורדפרס, כמו למשל אפליקציית ווקומרס בפלאפון, תוספים כמו jetpack, דוחות של ווקומרס, התראות בעמוד תוספים בנוגע לעדכוני תוספים וכד'..

סיכום

במדריך זה למדנו על חור אבטחה שקיים בוורדפרס ואין לו נכון לגרסת וורדפרס 6.1.1 תיקון, אך קיימת דרך שיכולה להשפיע על תוספים באתר, להגברת ההגנה מפני חור אבטחה זה.