A WordPress kiadta a 7.1.4-es biztonsági frissítést, amely többek között a frissítési folyamatot érintő, távoli kódfuttatáshoz vezető gyengeséget és számos tárolt XSS-sebezhetőséget javít. Bár a javításokat a régebbi verzióágakra is visszavezetik, ezek kiadása még folyamatban van, és aktív támogatást csak a legfrissebb WordPress-verzió kap. A fejlesztők azonnali frissítést javasolnak. A csomag jogosultsági problémákat, szolgáltatásmegtagadást okozó hibát és a beépített gyökértanúsítványokat érintő módosítást is tartalmaz.
A javítások a frissítési folyamatot és több tartalomkezelési funkciót is érintenek
A hivatalos kiadási közlemény (új ablakban nyílik meg) több különböző támadási felületet nevez meg. A frissítési mechanizmus mellett blokkok, a Testreszabó és az Interactivity API is szerepel az érintett összetevők között.
A tárolt XSS olyan szkriptbefecskendezési probléma, amelynél a veszélyes tartalom eltárolódik, és később, annak megjelenítésekor okozhat gondot. Ez eltér a frissítési időablakban kihasználható gyengeségtől, amely a közlemény szerint távoli kódfuttatáshoz vezethet.
A bejelentés az alábbi javításokat és bejelentőket érint:
| Érintett terület | Javított probléma | Bejelentő vagy felfedező |
|---|---|---|
| WordPress-frissítési folyamat | A frissítési időablakban távoli kódfuttatáshoz vezető gyengeség | Umut Bayram |
| Speciálisan összeállított blokkjelölés | Tárolt XSS | Rafie Muhammad, Awesome Motive, Inc. |
| Személyes adatok törlésére irányuló kérelmek | A kérelmek úgy is létrehozhatók, hogy tárolt XSS-t eredményezzenek | Anthropic |
| Interactivity API | Több tárolt XSS-sebezhetőség | Egymástól függetlenül AnC és DatNLQ a VietSunshine Cyber Securitytől, rekter0 és Anas cherni, Marcel Karlsson (whoismarcel), valamint Weston Ruter, Jon Surrell, Alex Concha és Luis Herranz a WordPress biztonsági csapatából |
| Interactivity API | Tárolt, szolgáltatásmegtagadást okozó hiba | Jon Surrell, WordPress biztonsági csapat |
| A Testreszabó szelektív frissítése | Tárolt XSS | Rafie Muhammad, Awesome Motive, Inc. |
| Kategóriák blokk | Tárolt XSS | Ben Bidner, WordPress biztonsági csapat |
| Speciálisan összeállított felhasználói bejelentkezési nevek | Tárolt XSS | Anthropic |
| A Testreszabó még nem publikált módosításcsomagjai | Bejelentkezés nélküli felhasználók is felfedezhetik őket | Antonio Lorensius Silaban |
| Lejátszási lista és képblokkok | Tárolt XSS | Ben Bidner, WordPress biztonsági csapat |
core/comments-pagination-next és core/comments-pagination-previous blokkok | Tárolt XSS | Alex Concha, WordPress biztonsági csapat |
| Bejegyzésekhez kapcsolódó jegyzetek | Olyan, magasabb jogosultságú felhasználók is elolvashatják őket, akik az adott bejegyzést nem szerkeszthetik | Ramon, WordPress biztonsági csapat |
| Beépített gyökértanúsítványok | Frissítés az eMudhra-visszavonás miatt | A közlemény nem nevez meg külön bejelentőt |
A biztonsági csapat megköszönte a felelős hibabejelentéseket, amelyek lehetővé tették a problémák javítását ebben a kiadásban. A tájékoztatás nem közöl CVE-azonosítókat, súlyossági pontszámokat vagy részletes kihasználási feltételeket, ezért ezek alapján nem állítható fel pontos kockázati sorrend az egyes hibák között.
A frissítés a vezérlőpultból és letöltéssel is elérhető
A 7.1.4-es változat beszerezhető a WordPress letöltési oldaláról. A másik út az adminisztrációs felület: a vezérlőpulton a Frissítések, majd a Frissítés most lehetőség indítja el a telepítést.
Az automatikus frissítést támogató webhelyeken a folyamat automatikusan elindul. Ez a közleményben feltételesen szerepel, vagyis nem jelenti azt, hogy minden WordPress-oldal már megkapta a csomagot.
További verzióinformáció a WordPress 7.1.4 dokumentációs oldalán (új ablakban nyílik meg) található.
A régebbi verzióágak javításai még készülnek
A biztonsági módosításokat a javításokra jogosult régebbi ágakra is visszavezetik, jelenleg a 4.7-es ágig visszamenőleg. Ezek a visszamenőleges javítások, azaz backportok, elkészülésük után jelennek meg.
Ez nem azonos a régi verziók teljes körű támogatásával. A WordPress kifejezetten jelzi, hogy csak a legfrissebb verzió aktívan támogatott.
A WordPress 7.2 Beta 3 szintén megjelent (lassan fel is kerül elvileg), és tartalmazza a javításokat. A bétakiadás tehát nem jelent külön biztonsági kivételt: az új fejlesztési ágba is bekerültek az érintett módosítások már előre.
A kiadást Aaron Jorbin és Nik Tsekouras vezette
A közlemény a kiadás vezetői mellett az alábbi közreműködők munkáját köszöni meg. Ahol profilnév szerepel, az alábbi táblázatban is ugyanez szerepel.
| Közreműködő | Közreműködő | Közreműködő | Közreműködő |
|---|---|---|---|
| Adam Silverstein | Alex Concha | Andrew Duthie | Andrew Serong |
| David Arenas | Dennis Snell | Ella Van Durpe | George Mamadashvili |
| Isabel Brison | Jake Spurlock | Jb Audras | Jeremy Felt |
| John Blackbourn | Jon Surrell | Jonathan Desrosiers | Kira Song |
| luisherranz | Marco Ciampini | marcs0h | Marin Atanasov |
| Mario Santos | Miguel Fonseca | Nik Tsekouras | Peter Wilson |
| ramonopoly | Rudy Faile | umut3806 | Weston Ruter |
A WordPress nyílt forráskódú szoftver, amelyet nemzetközi közösség készít. A közreműködési lehetőségek (új ablakban nyílik meg) a programozás mellett a tervezésre és a dokumentációra is kiterjednek.
A híroldal e-mailes feliratkozást is kínál. A közlemény oldalán a WordPress News hírlevelénél 21,4 ezer további feliratkozó szerepel.
Szakmai értelmezés: a két jogosultsági hiba eltérő hozzáférési problémát jelent
A Testreszabó és a bejegyzésjegyzetek hibáját érdemes külön kezelni. Előbbinél bejelentkezés nélküli látogatók fedezhetnek fel még nem publikált módosításcsomagokat, utóbbinál már jogosultsággal rendelkező felhasználók férhetnek hozzá olyan jegyzetekhez, amelyekhez tartozó bejegyzést nem szerkeszthetik.
Konkrétan: egy felhasználó rendelkezhet magasabb szintű hozzáféréssel a rendszerben úgy, hogy egy adott bejegyzés szerkesztésére nincs joga. A javított jegyzetkezelési probléma éppen ezt a határt érinti, nem általában a bejelentkezés lehetőségét.
Üzemeltetési értelmezés: az automatikus frissítés és a telepített verzió nem ugyanaz
Egy automatikus háttérfrissítést támogató webhelyen elinduló folyamat még nem azonos a befejezett verzióváltással. Az üzemeltetési ellenőrzés tárgya ezért a ténylegesen telepített kiadás, nem pusztán az automatizálás lehetősége.
Ugyanez a különbség számít a régebbi ágaknál. A visszamenőleges javítások bejelentése nem jelenti valamennyi érintett csomag egyidejű elérhetőségét, mert a WordPress ezeket elkészülésük sorrendjében adja ki.
A gyakori kérdések a frissítés sürgősségét és elérhetőségét tisztázzák
Indokolt az azonnali frissítés?
Igen. A WordPress biztonsági kiadásként jelöli a 7.1.4-et, és azonnali frissítést javasol.
Minden webhely automatikusan megkapja?
A közlemény az automatikus háttérfrissítést támogató webhelyeknél jelzi a folyamat automatikus indulását. Ebből nem következik, hogy minden telepítés már frissült.
Csak XSS-hibákat javít a csomag?
Nem. A tárolt XSS-sebezhetőségeken túl távoli kódfuttatáshoz vezető gyengeség, szolgáltatásmegtagadási és hozzáférési probléma is szerepel benne, továbbá frissülnek a beépített gyökértanúsítványok.
A 4.7-es ág említése aktív támogatást jelent?
Nem. A visszamenőleges biztonsági javítások jelenleg eddig az ágig készülnek, de aktívan csak a legfrissebb WordPress-verzió támogatott.
Megkapta a javításokat a következő verzió bétája is?
Igen. A megjelent WordPress 7.2 Beta 3 tartalmazza a rá alkalmazható javításokat.
A következő nagy kiadást december 8-ra tervezik
A WordPress 7.1.4 rövid kiadási ciklusú biztonsági frissítés. A közlemény azonnali telepítést javasol, miközben a régebbi verzióágakhoz készülő javítások kiadása még folyamatban van.
A következő nagy verzió a WordPress 7.2 (új ablakban nyílik meg), amelynek megjelenését jelenleg december 8-ra tervezik. A fejlesztési ágból már elérhető a Beta 3, a rá alkalmazható biztonsági módosításokkal együtt.
Forrás: WordPress.org – WordPress 7.1.4 (új ablakban nyílik meg)
