WordPress 7.1.4, giriş gerektirmeyen kod çalıştırma açığını kapattı, açık için istismar girişimleri başladı

WordPress, 28 Ekim’de yayımladığı 7.1.4 sürümüyle çekirdekteki birden fazla güvenlik açığını kapattı ve sitelerin hemen güncellenmesini önerdi. Wordfence’e göre sürüm 22 açığı düzeltiyor. En ciddisi, WordPress’in güncelleme sürecindeki bir zayıflıktan kaynaklanan ve giriş gerektirmeden kod çalıştırmaya yol açabilen açık. WordPress’e göre bu açığı Umut Bayram bildirdi, Wordfence’in açık kaydında Bayram, Picus Security’den olarak gösteriliyor. Wordfence’e göre saldırganlar, sürüm yayımlandıktan kısa süre sonra açığı istismar etmeye çalışmaya başladı.

Açığın ayrıntıları

Wordfence’e göre WordPress, tam bir çekirdek güncelleme paketi kurarken yeni dosyaları wp-content/upgrade altında tahmin edilebilir bir klasöre açıyor. Bu geçici kopyada WordPress’in kurulum dosyaları da bulunuyor. Bu klasöre birçok sunucuda web üzerinden erişilebildiği için, kurulum dosyasını tam doğru anda isteyen giriş yapmamış bir saldırgan geçici WordPress kopyasıyla etkileşime girip PHP kodu çalıştırmaya kadar ilerleyebiliyor. Açık 4.7 ile 7.1.3 arasındaki sürümleri etkiliyor ve Wordfence’in verdiği CVSS 3.1 puanı 8.1.

Wordfence’e göre açığın istismarı zor. Saldırganın, kurulum dosyalarını içeren tam bir güncelleme paketinin açılmasına, geçici klasöre web üzerinden erişebilmeye ve WordPress geçici dosyaları silmeden önce saldırıyı tamamlamaya ihtiyacı var. Wordfence’e göre test ortamlarında bu klasör yalnızca birkaç saniye erişilebilir kaldı, ancak otomatik ve tekrarlanan istekler saldırganın şansını artırabiliyor. Wordfence’e göre WordPress 7.1.4, geçici klasörün adını rastgele hâle getirerek, klasöre bir koruma dosyası ekleyerek ve geçici yapılandırma verilerinin güvensiz biçimde kullanılmasını engelleyerek açığı kapatıyor.

İstismar girişimleri

Wordfence, açığa karşı geliştirdiği güvenlik duvarı kuralını 28 Ekim’de Türkiye saatiyle 23.30’da, WordPress’in sürümü duyurmasından yaklaşık üç saat sonra devreye aldı. Wordfence’e göre kurala ilk eşleşme dokuz dakika sonra geldi ve ilk 21 saatte geçici kurulum dosyalarının yollarını hedef alan 18.500’den fazla istek kaydedildi. En büyük iki kaynak, kısa güncelleme aralığını yakalamaya çalışır biçimde küçük site gruplarını yaklaşık 14,5 saat boyunca tekrar tekrar yokladı. Wordfence, isteklerin hepsinin tam olarak açığa giden yolu kullanmadığını belirtiyor.

Diğer açıklar

WordPress’e göre 7.1.4, Interactivity API’deki stored XSS açıklarını ve bir stored denial of service açığını, Customizer’daki ve Categories, Playlist ve Image bloklarındaki stored XSS açıklarını ve kişisel veri silme talepleri ile özel hazırlanmış kullanıcı adları üzerinden tetiklenen iki stored XSS açığını da kapatıyor. Bu son iki açığı Anthropic bildirdi. Sürüm ayrıca yayımlanmamış Customizer değişikliklerinin giriş yapmamış kullanıcılar tarafından bulunabilmesine yol açan bir açığı kapatıyor ve WordPress’in içinde gelen kök sertifikaları eMudhra sertifikalarının iptali nedeniyle güncelliyor. Wordfence’e göre bu açıkların çoğu katkıda bulunan, yazar ya da editör hesabı gerektiriyor.

Düzeltilmiş sürümler

Wordfence’e göre açık şu sürümlerde kapatıldı: 7.1.4, 7.0.8, 6.9.11, 6.8.12, 6.7.11, 6.6.11, 6.5.14, 6.4.14, 6.3.14, 6.2.15, 6.1.16, 6.0.18, 5.9.20, 5.8.19, 5.7.21, 5.6.23, 5.5.24, 5.4.25, 5.3.27, 5.2.30, 5.1.28, 5.0.31, 4.9.35, 4.8.34 ve 4.7.39. WordPress 4.6 ve öncesi güvenlik güncellemesi almıyor.

Önerilen önlemler

WordPress’e göre otomatik arka plan güncellemesini destekleyen sitelerde güncelleme kendiliğinden başlıyor. Wordfence ise güncellemenin tamamlandığının varsayılmamasını, Yönetim Paneli’ndeki Güncellemeler sayfasından sürümün kontrol edilmesini öneriyor. Sitelerin 7.1.4’e ya da kendi dalları için yayımlanan düzeltilmiş sürüme geçmesi gerekiyor. Wordfence, güncellemeden önce açıkta kalmış sitelerde wp-content/upgrade altındaki PHP dosyalarına yönelik beklenmedik isteklerin, tanınmayan yönetici hesaplarının, beklenmedik eklentilerin ve sitenin sahibinin yerleştirmediği PHP dosyalarının aranmasını öneriyor.