12/09/2013
Lek in Wordpress gevonden!
Een van de meestgebruikte CMS'en in de wereld is Wordpress, waarvan op 1 augustus 2013 een belangrijke nieuwe versie is uitgekomen: Versie 3.6.
Met het succes van Wordpress komt echter ook een gevaar: omdat Wordpress zoveel wordt gebruikt is het een geliefd onderwerp van misbruik door kwaadwillenden op zoek naar lekken in de beveiliging. Enkele weken geleden waren het nog brute force aanvallen op het WP password, nu is er een kwetsbaarheid ontdekt die misbruik van plugins moglijk maakt.
Recentelijk (11 september 2013) is door een beveiligingsonderzoeker een zwakheid (vulnerability) ontdekt in een centraal component van Wordpress. Deze vulnerability is in zichzelf niet direct te misbruiken, maar kan wel tot vervelende situaties leiden in combinatie met plugins die zelf niet voldoende controle uitvoeren op de invoer van gebruikers.
Van minstens één populaire plugin is bekend dat deze de gevonden vulnerability blootstelt aan mogelijk misbruik. Het is niet bekend om welke vulnerability dit gaat, aangezien dit teveel misbruik in de hand zou werken.
De ervaring leert dat wanneer dergelijke vulnerabilities bekend worden het een kwestie van tijd is voor deze ook daadwerkelijk worden misbruikt.
Het is dan ook van groot belang dat Wordpress-omgevingen zo snel mogelijk worden geupgrade naar versie 3.6.1, waarin deze fout is opgelost.
Voor een uitleg van de technische achtergronden bij deze vulnerability kunt u kijken op: http://vagosec.org/2013/09/wordpress-php-object-injection/
After reading a blog post about a “PHP object injection” vulnerability in Joomla, I dug a bit deeper and found Stefan Esser’s slides of the 2010 BlackHat conference, which showed that PHP’s unserialize() function can give rise to vulnerabilities when supplied user-generated content.
