Антонюк, В. В.

Черних, Олена Петрівна

Ukrainian

Library of National Technical University "Kharkiv Polytechnic Institute"

ПРОБЛЕМИ НАУКОВО-ТЕХНІЧНОГО ТА ПРАВОВОГО ЗАБЕЗПЕЧЕННЯ  
КІБЕРБЕЗПЕКИ У СУЧАСНОМУ СВІТІ 
 68 
ВРАЗЛИВІСТЬ СИСТЕМИ WORDPRESS 
 
Антонюк В.В., к.ф-м.н., доц. Черних Е.П. 
Національний технічний університет «ХПІ», Харків 
 
На сьогоднішній день WordPress – це найпопулярніша та зручна блог-
платформа для публікації статей та управління ними, на якій базується вели-
чезна кількість різних сайтів. Від загального числа сайтів, які використову-
ють CMS-движки, її частка становить 60,4%. Відповідно зі статистикою 
67,3% сайтів базується на останній версії даного програмного забезпечення. 
На жаль, базові налаштування не забезпечують достатнього рівня захисту. За 
тринадцять років існування веб-движка в ньому було виявлено 242 уразливо-
сті різного роду (без урахування вразливостей, знайдених в сторонніх пла-
гінaх і темах).  
Плагін Jetpack – один з найпопулярніших для WordPress. Він включає 
велику кількість модулів (від створення галерей і розсилки в соціальні мережі 
до захисту від перебору паролів і підрахунку відвідуваності). За даними ди-
ректорії WordPress.org, Jetpack має майже 25 мільйонів завантажень, і актив-
ний на понад 1 мільйон WordPress сайтів. 
Дослідники з фірми веб-безпеки Sucuri знайшли «міжсайтовий скрип-
тинг» (XSS), через який уразливості піддаються всі випуски Jetpack, почина-
ючи з версії 2.0. Проблема розташована в модулі Shortcode Embeds, який до-
зволяє користувачам вбудовувати зовнішні відео, зображення, документи, 
твіти та інші ресурси в свій контент. Він може бути з легкістю використаний 
для введення шкідливого JavaScript-кода в коментарі. Так як JavaScript-код 
повторюється, він буде виконуватися в браузерах користувачів кожен раз, 
коли вони переглядають цей шкідливий коментар. Наприклад, він може ви-
користовуватися, щоб вкрасти ідентифікаційні куки, включаючи сеанс адмі-
ністратора; перенаправити відвідувачів до експлойтів або ввести спам пошу-
кової оптимізації (SEO).  
Для усунення цієї вразливості команда безпеки проекту WordPress 
скористалась механізмом автоматичних оновлень в ядрі WordPress, і за допо-
могою нього оновила Jetpack до останньої версії (в рамках встановленої гіл-
ки) на всіх сайтах з подібною підтримкою. Так само вчинили ряд хостинг-
провайдерів.  


Вразливість системи WordPress

eNTUKhPIIR Electronic National Technical University "Kharkiv Polytechnic Institute"; Institutional Repository

ПРОБЛЕМИ НАУКОВО-ТЕХНІЧНОГО ТА ПРАВОВОГО ЗАБЕЗПЕЧЕННЯ  КІБЕРБЕЗПЕКИ У СУЧАСНОМУ СВІТІ  68 ВРАЗЛИВІСТЬ СИСТЕМИ WORDPRESS  Антонюк В.В., к.ф-м.н., доц. Черних Е.П. Національний технічний університет «ХПІ», Харків  На сьогоднішній день WordPress – це найпопулярніша та зручна блог-платформа для публікації статей та управління ними, на якій базується вели-чезна кількість різних сайтів. Від загального числа сайтів, які використову-ють CMS-движки, її частка становить 60,4%. Відповідно зі статистикою 67,3% сайтів базується на останній версії даного програмного забезпечення. На жаль, базові налаштування не забезпечують достатнього рівня захисту. За тринадцять років існування веб-движка в ньому було виявлено 242 уразливо-сті різного роду (без урахування вразливостей, знайдених в сторонніх пла-гінaх і темах).  Плагін Jetpack – один з найпопулярніших для WordPress. Він включає велику кількість модулів (від створення галерей і розсилки в соціальні мережі до захисту від перебору паролів і підрахунку відвідуваності). За даними ди-ректорії WordPress.org, Jetpack має майже 25 мільйонів завантажень, і актив-ний на понад 1 мільйон WordPress сайтів. Дослідники з фірми веб-безпеки Sucuri знайшли «міжсайтовий скрип-тинг» (XSS), через який уразливості піддаються всі випуски Jetpack, почина-ючи з версії 2.0. Проблема розташована в модулі Shortcode Embeds, який до-зволяє користувачам вбудовувати зовнішні відео, зображення, документи, твіти та інші ресурси в свій контент. Він може бути з легкістю використаний для введення шкідливого JavaScript-кода в коментарі. Так як JavaScript-код повторюється, він буде виконуватися в браузерах користувачів кожен раз, коли вони переглядають цей шкідливий коментар. Наприклад, він може ви-користовуватися, щоб вкрасти ідентифікаційні куки, включаючи сеанс адмі-ністратора; перенаправити відвідувачів до експлойтів або ввести спам пошу-кової оптимізації (SEO).  Для усунення цієї вразливості команда безпеки проекту WordPress скористалась механізмом автоматичних оновлень в ядрі WordPress, і за допо-могою нього оновила Jetpack до останньої версії (в рамках встановленої гіл-ки) на всіх сайтах з подібною підтримкою. Так само вчинили ряд хостинг-провайдерів.  

http://repository.kpi.kharkov.ua/bitstream/KhPI-Press/45811/1/Antoniuk_Vrazlyvist_systemy_2017.pdf

Вразливість системи WordPress

Abstract

Similar works

Full text

Available Versions

Library of National Technical University "Kharkiv Polytechnic Institute"

eNTUKhPIIR Electronic National Technical University "Kharkiv Polytechnic Institute"; Institutional Repository