Azok az oldaltulajdonosok, akik az Ultimate Member kiegészítőt használják WordPress alatt már megkapták az értesítést a következő, újabb verzió frissítésére. Számos hibát javítottak, hiszen a korábbi verziókban egy kritikus sebezhetőség érhető el, mellyel a bűnözők hozzáférhetnek adatbázisunkhoz és az admin felülethez.

Az Ultimate Member kiegészítőnek jelenleg 100.000 aktív Wodpress oldalon fut, így ez óriási probléma.

Jogosultságkezelésnél siklott el a dolog

Tegnap a Wordfence csapata publikálta, hogy több biztonsági rést találtak a fentebb említett kiegészítőben. Az egyik lehetőséget adott a támadóknak, hogy átvegyék az oldal irányítását és hozzáférést nyerjenek az admin felülethez a kiegészítő segítségével.

Miután a csapat jelezte a biztonsági rést, a bővítményt a fejlesztők azonnal foltozták és az Ultimate Member 2.1.12 október 29.-i kiadással már a javított plugint tölthettük le. Természetesen minden korábbi verziót használónak frissíteni kellene. Ezt e-mail-ben többször jelezték a felhasználóik felé.

Mint fentebb írtam az egyik hiba kritikus. Itt a regisztrációt követően még nem hitelesített személyek könnyedén tudták „emelni” a jogosultságaikat, akár Adminisztrátor szintig.

A további hibák közül a másik CVSS súlyos maximális súlyosságú besorolást kapott, mivel itt is jogosultságkezelés módosítására lehet szert tenni. Ezt a felhasználó regisztráció folyamatában lehet „módosítani”. Az űrlapon mindössze a wp_capabilities[admin] rejtett „input text” szövegtömb értékét kellett átírnia „1” -re és máris adminként végeztük a regisztrációt.

A harmadik valamivel kevésbé erős, mégis jelentős probléma, hiszen a „wp-admin” url címet és hozzáférést meghagyva a profil.php-n keresztül vált sebezhetővé a weboldal. Itt egy ugyanúgy emelhető a jogosultság az adminisztrátori szintig, egy új „jogosultságkör” kiosztásával.

Több ezer webhely még veszélynek van kitéve

Bár az Ultimate Member fejlesztői állítása szerint a kiadott frissítést már az aktív használók 40%-a frissítette, mégis úgy érezzük még bőven maradt olyan weboldal mely súlyos biztonsági réssel „ellátva” publikusan megjelenik az interneten.

Ez akkor jelent veszélyt, ha egy kiberbűnöző felismeri a „lyukat” a weboldalban, azaz kiegészítőben és így célzott támadást tud indítani a weboldal, majd a weboldalt olvasó felhasználók ellen.

Az Ultimate Member fejlesztői csapata arra ösztönzik a felhasználóikat, hogy minél előbb frissítsék a kiegészítőt 2.1.12 vagy újabb verzióra, melyben a fentebb említett problémákat már javították.