WordPress核心更新服務器遭到惡意入侵
責編：mhshi ｜2016-11-23 17:36:40WordPress核心更新服務器已因一項安全漏洞而遭到惡意入侵。WordPress安全項目WordFence首席開發者Matt Barry發現，攻擊者能夠提交極弱散列算法并作為驗證過程的組成部分。如此一來，共享密鑰只需要數個小時即可暴力破解完成。
這項已被關閉的遠程代碼執行漏洞源自api.wordpress.org內的一個php webhook，其允許開發者自行選擇散列算法以證明代碼更新合法。
這樣狹窄的猜測范疇已經被WordPress安全系統所發現并關注。
利用這項漏洞的攻擊者隨后可向WordPress更新服務器發送URL，其會被旋即推送至全部WordPress站點。Web監控服務W3techs.com認為，這些站點可能占全球整體萬維網網站中的27.1%。
“通過入侵api.wordpress.org，攻擊者可能足以一次性突破全世界超過四分之一的網站，”Barry表示。
“我們分析了WordPress的代碼，并發現其中一項安全漏洞可能允許攻擊者在api.wordpress.org上執行其自有代碼并獲取訪問權。”
“入侵更新服務器可能意味著攻擊者能夠提供自有URL，從而將軟件自動下載并安裝至各WordPress網站當中。”
攻擊者還能夠進一步執行惡意活動; 一旦后門或者惡意更新被推送完成，他們將能夠立足于受入侵網站禁用WordPress的默認自動更新機制。
Barry指出，WordPress未能利用簽名驗證以檢查已安裝的各項更新，而是選擇信任來自api.wordpress.org的全部URL與軟件包。
WordPress的哈希驗證流程在受到削弱之后，攻擊者將能夠向shell_exec直接傳送POST參數，從而執行遠程代碼并順利入侵api.wordpress.org更新服務器。
Barry選擇了安全性較弱的adler32散列算法，其能夠將可能的排列組合由43億個（2的32次方）大幅縮減至10萬到40萬個。
“這代表著共享內容更易被猜出，只需要數個小時攻擊者即可自行向api.wordpress.org發送webhook，”Barry表示?！耙坏┰搘ebhook允許此請求，攻擊方即可在api.wordpress.org上執行shell命令以訪問底層操作系統，這意味著api.wordpress.org被正式攻破。”
Barry于9月2日將該項bug報告給了WordPress開發方Automattic，五天之后相關修復補丁即正式推出。然而他仍然認為，api.wordpress.org將成為數百萬依賴其進行更新的WordPress網站的單點故障根源。在他看來，Automattic方面并沒有回應他提出的故障點討論建議，亦無意調整現有更新認證機制。Barry并不是惟一一名關注這種控制能力缺陷的安全研究人員; 在本周的OpenWall安全郵件組討論當中，亦有研究人員提出了類似的理論性攻擊途徑。
不過盡管這方面建議最早可追溯至三年前，但WordPress管理方顯然仍堅持對這一觀點加以忽略。
來源：E安全（https://www.easyaq.com/newsdetail/id/1379024767.shtml）
上一篇：美國大選三個搖擺州投票系統或被黑
下一篇：黑客成功入侵多個國家的大使館