WordPress'in Hatası 6 Yıl Sonra Farkedildi - Ali Çetin AKBAYRAK
Güvenlik araştırmacılarının bulduğu bir yazılım açığı, uzun ömrü ile görenleri hayretler içerisine düşürüyor.
RIPS Technologies GmbH tarafından ortaya çıkarılan güvenlik açığının günümüze kadar WordPress’in 5.0.3 sürümünden önceki tüm sürümleri tehdit ediyor olduğu ortaya çıktı. Bu, çoğu WordPress kullanıcısının altı yıl boyunca güvenlik açığı riski altında bulunduğunu gösteriyor.
Saldırganların güvenlik açığından faydalanabilmeleri için “Yazar” seviyesinde bir hesaba sahip olmaları gerekiyor. Bu ise potansiyel güvenlik risklerini biraz da olsa azaltıyor ancak platformdaki herhangi bir “yazar” hesabının çoğu WordPress kulanıcısını tehlikeye atabiliyor olması enidişe verici bir durum.
RIPS Technologies GmbH araştırmacısı Simon Scanell, güvenlik açığının nasıl işliyor olduğunu ise şu şekilde açıklıyor: Açık, potansiyel olarak bir saldırganın WordPress üzerindeki resim açıklamalarından faydalanarak blog hesaplarını ele geçirmelerini sağlayabiliyor. Saldırganın bunu başarabilmesi için bir öncelikle gönderisindeki bir resmin alt metin açıklamasını değiştirerek istediği değişkenlere ayırabilmesi gerekiyor. Bunun mümkün olmasının sebebi ise WordPress’in yüklenen görsellerle ilgili olarak görselin alt metin verisinde açıklama, dosya boyutu veya başka alt bilgiyi oluşturan diğer verilerin değiştirilmesine bir yazılım hatası nedeniyle izin veriyor olması.
(…) Yol İzleme adını verdiğimiz prosedür hala geçerli ve bir eklenti kullanılarak kötü amaçlar için ayarlanabiliyor. Bu sebeple görsellerin detaylarını değiştirebilen eklentiler, potansiyel olarak diğer kullanıcıların hassas bilgilerine de ulaşabiliyor. Ancak yine de WordPress’i hedef almak için ağda belirli bir yetkiye sahip olunma zorunluluğunun bulunması nedeniyle açığı kamuoyuna açıklamak için dört ay boyunca WordPress’e detayları sunarak güvenlik yamasının tamamlanmasını beklemek durumunda kaldık.
6 Yıl Farkedildi Hatası Sonra WordPress