Понад 67% усіх зареєстрованих уразливостей WordPress були середнього рівня. Це факти, які вам потрібно знати.
Більшість уразливостей WordPress, близько 67% з них виявлено у 2023 році, оцінюються як середній рівень. Оскільки вони є найпоширенішими, має сенс зрозуміти, що це таке та коли вони становлять справжню загрозу безпеці. Це факти про такі вразливості, які ви повинні знати про них.
Що таке вразливість середнього рівня?
Представник WPScan, компанії зі сканування безпеки WordPress, що належить Automattic, пояснив, що вони використовують загальну систему оцінки вразливостей (CVSS Scores), щоб оцінити серйозність загрози. Оцінки базуються на системі нумерації від 1 – 10 і рейтинги від низького, середнього, високого та критичного.
Представник WPScan пояснив:
“Ми не’позначаємо не рівні як ймовірність того, що станеться, але серйозність уразливості на основі CVSS-фреймворку FIRST’. Якщо говорити в широкому сенсі, показник середнього рівня серйозності означає, що вразливість важко використати (наприклад, SQL-ін’єкція, для якої потрібен обліковий запис із високими привілейованими правами), або зловмисник мало виграє від успішної атаки (наприклад, неавтентифікований користувач може отримати вміст приватних публікацій блогу).
Загалом ми не бачимо, щоб вони використовувалися так часто у великомасштабних атаках, оскільки вони менш корисні, ніж уразливості вищого рівня, і їх важче автоматизувати. Однак вони можуть бути корисними в більш цілеспрямованих атаках, наприклад, коли обліковий запис привілейованого користувача вже зламано або зловмисник знає, що деякий приватний вміст містить конфіденційну інформацію, яка йому корисна.
Ми завжди рекомендуємо оновити вразливі розширення якомога швидше. Тим не менш, якщо рівень серйозності середній, тоді це менш терміново, оскільки сайт менш імовірно стане жертвою широкомасштабної автоматизованої атаки.
Непідготовленому користувачеві звіт може здатися складним для сприйняття. Ми зробили все можливе, щоб зробити його максимально придатним для всіх аудиторій, але я розумію, що’неможливо буде охопити всіх, не зробивши його надто нудним або довгим. Те ж саме може статися з повідомленою вразливістю. Користувачеві, який переглядає канал, знадобляться певні базові знання про налаштування свого веб-сайту, щоб визначити, яка вразливість потребує негайної уваги, а яку можна усунути, наприклад, WAF.
Якщо користувач знає, наприклад, що його сайт’не дозволяє користувачам підписуватися на нього. Усі повідомлення про вразливості абонента+, незалежно від рівня серйозності, можуть бути переглянуті. Припускаючи, що користувач постійно переглядає базу користувачів сайту.
Те саме стосується звітів учасників+ або навіть рівнів адміністратора. Якщо особа підтримує невелику мережу сайтів WordPress, уразливості admin+ цікаві для неї, оскільки скомпрометований адміністратор одного із сайтів може бути використаний для атаки на суперадміністратора.”
Уразливості на рівні автора
Для багатьох уразливостей середнього ступеня тяжкості потрібен доступ на рівні учасника. Співавтор — це роль доступу, яка дає зареєстрованому користувачеві можливість писати та надсилати вміст, хоча загалом він не має можливості публікувати його.
Більшості веб-сайтів не потрібно турбуватися про загрози безпеці, які вимагають автентифікації на рівні учасників, оскільки більшість сайтів не пропонують такий рівень доступу.
Хлоя пояснила:
“Більшості власників сайтів не варто хвилюватися про вразливості, для використання яких потрібен доступ на рівні учасників і вище. Це пов’язано з тим, що більшість сайтів не дозволяють реєстрацію на рівні співавторів, і більшість сайтів не мають співавторів на своїх сайтах.
Крім того, більшість атак на WordPress є автоматизованими та шукають легких для використання високоцінних результатів, тому подібні вразливості навряд чи стануть мішенню для більшості загроз WordPress.”
Видавці веб-сайтів, які мають хвилюватися
Хлоя також сказала, що видавці, які пропонують дозволи на рівні співавторів, можуть мати кілька причин для занепокоєння щодо таких експлойтів:
“Занепокоєння щодо експлойтів, які вимагають доступу до експлойту на рівні учасників, виникає, коли власники сайту дозволяють реєстрацію на рівні учасників, мають авторів із слабкими паролями або сайт має інший плагін/тема, інстальована з уразливістю, яка певним чином дозволяє отримати доступ на рівні співавтора, і зловмисник дійсно хоче потрапити на ваш веб-сайт.
Якщо зловмиснику вдасться заволодіти одним із цих облікових записів і існує вразливість на рівні учасника, він може отримати можливість підвищити свої привілеї та завдати реальної шкоди жертві. Візьмемо, наприклад, уразливість міжсайтового сценарію на рівні учасника.
Через природу доступу на рівні учасника, адміністратор, швидше за все, попередньо перегляне публікацію для перегляду, після чого будь-який ін’єкційний JavaScript виконає – це означає, що зловмисник матиме відносно високі шанси на успіх, оскільки адміністратор попередньо переглядає публікацію для публікації.
Як і будь-яку іншу вразливість міжсайтового сценарію, цю вразливість можна використати для додавання нового облікового запису адміністратора, впровадження бекдорів і, по суті, виконання будь-яких дій, які може зробити адміністратор сайту. Якщо серйозний зловмисник має доступ до облікового запису на рівні учасника та не має іншого тривіального способу підвищити свої привілеї, то він, швидше за все, використає цей міжсайтовий сценарій на рівні учасника, щоб отримати подальший доступ. Як згадувалося раніше, ви, ймовірно, не побачите такого рівня складності, орієнтованого на переважну більшість сайтів WordPress, тому цими проблемами потрібно займатися дійсно високоцінним сайтам.
На завершення, хоча я не вважаю, що переважній більшості власників сайтів потрібно турбуватися про вразливості на рівні співавторів, все одно важливо серйозно ставитися до них, якщо ви дозволяєте реєстрацію користувачів на на цьому рівні на вашому сайті, ви не’не використовуєте унікальні надійні паролі користувачів і/або у вас є високоцінний веб-сайт WordPress.”
Зверніть увагу на вразливості
Хоча багато вразливостей середнього рівня можуть не викликати занепокоєння, все ж варто бути в курсі їх. Сканери безпеки, такі як безкоштовна версія WPScan, можуть видавати попередження, коли плагін або тема стають уразливими. Це хороший спосіб мати систему попереджень, щоб бути в курсі вразливостей.
Плагіни безпеки WordPress, такі як Wordfence, пропонують проактивну позицію безпеки, яка активно блокує автоматизовані хакерські атаки та може бути додатково налаштована досвідченими користувачами для блокування певних ботів і агентів користувачів. Безкоштовна версія Wordfence пропонує суттєвий захист у вигляді брандмауера та сканера шкідливих програм. Платна версія пропонує захист від усіх уразливостей, щойно їх буде виявлено та до того, як уразливість буде виправлено. Я використовую Wordfence на всіх своїх веб-сайтах і не можу уявити створення веб-сайту без нього.
Безпека, як правило, не розглядається як проблема SEO, але її слід розглядати як таку, оскільки нездатність захистити сайт може скасувати всі важкі слова, зроблені для підвищення рейтингу сайту.