Множество сайтов на WordPress подвержены уязвимости из-за плагина

OSzone.net » Новости » IT » Множество сайтов на WordPress подвержены уязвимости из-за плагина
Автор: Алексей Алтухов
Иcточник: arstechnica.com
Опубликована: 26.02.2015

Более миллиона веб-сайтов (хотя представители WordPress говорят о 100 тысячах сайтов) на основе системы управления контентом WordPress оказались подвержены риску атак злоумышленников по причине критической уязвимости плагина под названием WP-Slimstat. Slimstat является инструментом аналитики, скачанным около 1,3 млн. раз.

Все версии до недавно выпущенной Slimstat 3.9.6 содержат легко расшифровываемый ключ, используемый для подписи данных, оправляемых и получаемых с компьютеров пользователей. Уязвимость была обнаружена компанией Sucuri.

Результатом уязвимости является возможность SQL-инъекций, которые дают доступ к паролям и ключам шифрования, используемым для удалённого администрирования веб-сайтов. Атаки типа Blind SQL Injection дают доступ к базе данных с логинами, паролями и иногда к файлам WordPress Secret Keys, зачастую дающим полный контроль над сайтом.

*

Ключ для Slimstat представляет собой всего лишь временную отметку момента установки плагина, зашифрованную алгоритмом MD5. При помощи доступных сервисов можно узнать, когда любой сайт появился в Интернете. Узнав год, нужно протестировать примерно 30 млн.числовых  вариантов, что займёт всего около 10 минут.

Данная уязвимость WordPress является не первой, подвергающей опасности веб-сайты. Только в конце прошлого года было обнаружено ещё две уязвимости: одна связанная с приложением SoakSoak, другая затрагивала 86% сайтов на WordPress.


Ссылка: http://www.oszone.net/26530/WP-Slimstat_bug