Κινέζοι και Ιρανοί hacker ανανεώνουν τις επιθέσεις τους στις Αμερικάνικες εταιρείες
infosec

Κινέζοι και Ιρανοί hacker ανανεώνουν τις επιθέσεις τους στις Αμερικάνικες εταιρείες

Επιχειρήσεις και κυβερνητικές υπηρεσίες στις Ηνωμένες Πολιτείες έχουν γίνει στόχος επιθέσεων από Ιρανούς και Κινέζους hacker που οι ειδικοί της...
Read More
infosec

Το Microsoft Teams εκτός λειτουργίας. Επιτυχής αποκατάσταση

Ο μεγάλος ανταγωνιστής του Slack της Microsoft, το Microsoft Teams, βρέθηκε εκτός λειτουργίας χτες. Οι χρήστες αντιμετώπισαν προβλήματα σύνδεσης με...
Read More
infosec

Hacked από Ινδούς το website του Υπουργείου Εξωτερικών του Πακιστάν

Εν μέσω έντονων εντάσεων μεταξύ Ινδίας και Πακιστάν μετά από τη θανατηφόρα επίθεση Pulwama στις 14 Φεβρουαρίου, το Σάββατο, ο...
Read More
infosec

Η Google προσπαθεί να προστατεύσει το password σας από hackers

Οι μαζικές παραβιάσεις των password είναι πάρα πολύ συνηθισμένες αυτές τις μέρες. Γι’ αυτό η Google προσπαθεί να επιδιορθώσει το...
Read More
infosec

Instagram: Bug επηρεάζει τους λογαριασμούς των Kylie Jenner, Ariana Grande και Selena Gomez

Bug στο Instagram κατέστησε τους λογαριασμούς της Kylie Jenner και των τραγουδιστριών Ariana Grande και Selena Gomez κατά 3 εκατομμύρια...
Read More
Latest Posts

Επικίνδυνο κενό ασφαλείας στον πυρήνα του WordPress

Ερευνητές ασφαλείας της RIPS ανακοίνωσαν σήμερα ένα κενό ασφαλείας του WordPress, ένα από τα πιο δημοφιλή συστήματα διαχείρισης περιεχομένου (CMS). Οι ερευνητές αναφέρουν ότι έχουν ενημερώσει την ομάδα του WordPress από τον Νοέμβριο του 2017, αλλά οι προγραμματιστές του WordPress δεν έχουν βγάλει κάποιο update μέχρι στιγμής.

Wordpress core security hole

Η ευπάθεια επηρεάζει τον πυρήνα του WordPress, και όχι κάποιο από τα plugins του. Πιο συγκεκριμένα, το bug βρίσκεται σε ένα php function που διαγράφει τα thumbnails από εικόνες που έχουν ανεβεί στο site.

Οι ερευνητές ανακάλυψαν ότι  χρήστες που έχουν πρόσβαση στον editor των άρθρων, και μπορούν να ανεβάσουν και να διαγράψουν εικόνες (μαζί και τις μικρογραφίες τους), μπορούν να εισάγουν κακόβουλο κώδικα στο site και να διαγράψουν κρίσιμα αρχεία, κάτι που δεν θα έπρεπε να γίνεται χωρίς την πρόσβαση στον FTP server.

Το μέγεθος της ευπάθειας ευτυχώς περιορίζεται αρκετά καθώς δεν έχουν όλοι οι χρήστες πρόσβαση στον editor. Πάραυτα, με την χρήση του κακόβουλου κώδικα, είναι δυνατή η διαγραφή του αρχείου wp-login.php, το οποίο είναι το configuration αρχείο του site. Όταν διαγραφεί, μπορεί ο οποιοσδήποτε να ξανά εκτελέσει την διαδικασία εγκατάστασης, κλειδώνοντας τους διαχειριστές απέξω.  Έτσι ο επιτιθέμενος μπορεί να «κλέψει» ολόκληρο το site και να γίνει διαχειριστής, επιτρέποντας του να δημοσιεύσει κακόβουλο περιεχόμενο, να ανακατευθύνει τους χρήστες σε άλλο ιστότοπο ή και να διαγράψει ολοκληρωτικά την ιστοσελίδα. Ακολουθεί αναλυτικό video από  την ίδια την ομάδα που εκτελεί ολόκληρη την διαδικασία σε λιγότερο από 1 λεπτό.

Έχετε άποψη; Αφήστε το σχόλιό σας.

Ο συντάκτης σας επιτρέπει να αντιγράψετε το κείμενό του, μόνο εφόσον αναφέρετε την πηγή (SecNews.gr), σαν ηλεκτρονική διεύθυνση (Live URL) του άρθρου.
Updated on by

Reader Interactions

Αφήστε μια απάντηση

Η ηλ. διεύθυνση σας δεν δημοσιεύεται. Τα υποχρεωτικά πεδία σημειώνονται με *