IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)
Navigation

Inscrivez-vous gratuitement
pour pouvoir participer, suivre les réponses en temps réel, voter pour les messages, poser vos propres questions et recevoir la newsletter

WordPress PHP Discussion :

Des chercheurs découvrent une faille dans le noyau de WordPress


Sujet :

WordPress PHP

  1. #1
    Chroniqueur Actualités

    Homme Profil pro
    Dirigeant
    Inscrit en
    Juin 2016
    Messages
    3 160
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : Bénin

    Informations professionnelles :
    Activité : Dirigeant
    Secteur : Aéronautique - Marine - Espace - Armement

    Informations forums :
    Inscription : Juin 2016
    Messages : 3 160
    Points : 66 298
    Points
    66 298
    Par défaut Des chercheurs découvrent une faille dans le noyau de WordPress
    Des chercheurs découvrent une faille dans le noyau de WordPress
    qui pourrait être exploitée pour supprimer des fichiers système du CMS

    Cela fait près de huit mois maintenant que, selon les dires des chercheurs, l’équipe WordPress a été informée d’une faille dans le système susceptible d’affecter le CMS qui, rappelons-le, est le système de gestion de contenu le plus populaire sur internet. Les chercheurs se sont servis de RIPS, outil d'analyse de code statique pour détecter automatiquement les vulnérabilités dans les applications PHP, pour détecter la faille. La vulnérabilité affecte le noyau du CMS WordPress, plus précisément les fonctions PHP. Ce qui en soit représente un très grand problème, car PHP est l’un des modules de programmation les plus populaires et les plus accessibles. En fait, la majeure partie des débutants dans la programmation commence par PHP.

    Nom : hacking-wordpress-blog-admin-password-reset.png
Affichages : 6292
Taille : 90,9 Ko

    La vulnérabilité permet à un utilisateur mal intentionné d’insérer du code malveillant dans un site WordPress et rend possibilité la suppression de n'importe quel fichier de l'installation de WordPress et tout autre fichier sur le serveur que seul l'utilisateur du processus PHP a les permissions nécessaires pour supprimer. Même les fichiers suivants peuvent être supprimés : .htaccess, index.php et wp-config.php. Cela ne devrait en principe pas être possible. Face à une situation aussi périlleuse, il est d’autant plus curieux que l’équipe de WordPress n'ait visiblement rien fait. Ce genre d’incident semble se répéter ces dernières années. Rappelons qu'au début de cette année, une faille dans WordPress permettait de mettre les sites hors service avec un simple poste de travail.

    Aucune solution ne semble être apportée par l'équipe de WordPress contre cette vulnérabilité qui concerne toutes les versions du célèbre gestionnaire de contenu, même la version 4.9.6 qui est la version actuelle. Toutefois, il faut avoir un certain niveau d’accès pour pouvoir exploiter cette faille. Cela pourrait expliquer pourquoi les équipes de WordPress semblent ne pas tailler une grande importance à cette faille qu’ils jugent peut-être sans risque majeur. Cependant, les chercheurs expliquent que si un utilisateur quelconque arrivait à enregistrer même un compte utilisateur de bas niveau sur un site et à élever ses privilèges, il peut exploiter cette vulnérabilité pour compromettre un site WordPress.

    Source : RIPSTECH

    Et vous ?

    Colmater cette brèche ne devrait-il pas être la priorité de l’équipe WordPress ?
    Ce silence de l’équipe WordPress est-il une minimisation des risques d’attaques ou une incapacité de faire face au problème ?

    Voir aussi

    Une faille dans WordPress permet de mettre les sites hors service, un poste de travail client suffit à accomplir la besogne

    Comparatif entre WordPress, Joomla et Drupal avec une infographie sur les systèmes de gestion de contenu

    WordPress est désormais utilisé sur plus de 30 % des sites web, le champion des CMS creuse encore l'écart avec la concurrence

    React : WordPress décide d'abandonner la bibliothèque JavaScript de Facebook suite à la polémique autour d'une clause de son octroi de licence

    En tant que développeur, que détestez-vous le plus dans WordPress ? Partagez votre expérience

  2. #2
    Nouveau membre du Club
    Homme Profil pro
    Consultant E-Business
    Inscrit en
    Mai 2018
    Messages
    21
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : Belgique

    Informations professionnelles :
    Activité : Consultant E-Business

    Informations forums :
    Inscription : Mai 2018
    Messages : 21
    Points : 30
    Points
    30
    Par défaut Les dangers du CMS
    Pour faire un site, soit on peut avoir recours à un website builder, soit un CMS open source, soit un cms propriétaire, soit une solution développée. C'est clair que faire un site sous Wordpress représente des risques. Si les utilisateurs peuvent augmenter leurs privilèges lors de la création d'un compte, cela craint pour les sites utilisant les extensions de vente telles que woocommerce. Quoiqu'il en soit, il faut peser le pour et le contre quand on choisi une solution en étant conscient que le CMS le plus utilisé est le plus exposé aux attaques et à ce que des failles soient découvertes. Pour le coup ils devraient trouver un patch, je trouve. Sinon, pour ceux qui veulent peser le pour et le contre de wordpress https://dkoop.be/un-site-wordpress/

  3. #3
    Membre extrêmement actif
    Homme Profil pro
    Graphic Programmer
    Inscrit en
    Mars 2006
    Messages
    1 598
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Paris (Île de France)

    Informations professionnelles :
    Activité : Graphic Programmer
    Secteur : High Tech - Multimédia et Internet

    Informations forums :
    Inscription : Mars 2006
    Messages : 1 598
    Points : 4 108
    Points
    4 108
    Par défaut
    moi j'en ai eu marre des cms usine a gaz. je me suis tourné vers le generateur de site statique qui s'appelle jekyll . on ecrit les pages en markdown. evidemment pour mon cas je n'ai pas besoin de base de donnée ni d'utilisateurs.

  4. #4
    Nouveau Candidat au Club
    Homme Profil pro
    Chargé d'affaire
    Inscrit en
    Juin 2018
    Messages
    1
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 37
    Localisation : France, Seine Saint Denis (Île de France)

    Informations professionnelles :
    Activité : Chargé d'affaire

    Informations forums :
    Inscription : Juin 2018
    Messages : 1
    Points : 1
    Points
    1
    Par défaut Fix possible
    la solution provisoire serait de mettre à l'abris le fichier wp-config.php au plus bas niveau de la racine de façon à ce qu'il ne soit pas accessible depuis le dossier d'installation wordpress

    Exemple /var/www/wordpress/wp-config.php > /var/www/wp-config.php

    Ensuite de réglé au plus juste le chmod des fichiers wp-config.php, index.php et .htaccess ou mieux encore pour le .htaccess, injecter la configuration dans la config du vhosts.

    Cette faille va je pense faire beaucoup de mal, priez sur votre WAF (Cloudflare, Sucuri et Bitninja ...) en espérant que ça ne passera pas sous les radars.

  5. #5
    Membre actif
    Homme Profil pro
    Développeur Web
    Inscrit en
    Septembre 2015
    Messages
    114
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : Japon

    Informations professionnelles :
    Activité : Développeur Web
    Secteur : High Tech - Multimédia et Internet

    Informations forums :
    Inscription : Septembre 2015
    Messages : 114
    Points : 283
    Points
    283
    Par défaut
    La vulnérabilité permet à un utilisateur mal intentionné d’insérer du code malveillant dans un site WordPress
    De quel vulnerabilite parle t-on car je suis un peu perdu pardon...
    En gros comment ce code malveillant arrive sur le serveur ? Est depuis le panneau d'administration de Wordpress sans etre administrateur ?

    Je suis un peu large...

  6. #6
    Membre régulier
    Profil pro
    Inscrit en
    Mai 2006
    Messages
    82
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations forums :
    Inscription : Mai 2006
    Messages : 82
    Points : 114
    Points
    114
    Par défaut
    Je suis un peu large...
    @seikida, Tu as dû manger trop de php ...
    Pour ce qui est de comment ça marche, c'est expliqué dans la source cité en fin d'article ( https://blog.ripstech.com/2018/wordp...ode-execution/ )
    De ce que j'ai compris, il faut ( quand même ) un acces minimum type "contributeur" pour pouvoir upload une image ..., donc en gros, un administrateur mal intentionné ...

    Ce silence de l’équipe WordPress est-il une minimisation des risques d’attaques ou une incapacité de faire face au problème ?
    Là, je dirais qu'il faut arréter de les prendre pour des bouseux sous prétexte que c'est la mode, c' est Trolldi ou bien ?

  7. #7
    Responsable Systèmes


    Homme Profil pro
    Gestion de parcs informatique
    Inscrit en
    Août 2011
    Messages
    17 769
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Paris (Île de France)

    Informations professionnelles :
    Activité : Gestion de parcs informatique
    Secteur : High Tech - Matériel informatique

    Informations forums :
    Inscription : Août 2011
    Messages : 17 769
    Points : 43 954
    Points
    43 954
    Par défaut
    Une solution maison ne sera pas forcément moins boguée, l'erreur est humaine.

    Tous les sites wordpress que j'ai vu hacké venait de plugins de mauvaise qualité ou non mis à jour (notamment dans le cas de plugins payants).

  8. #8
    Membre expérimenté

    Homme Profil pro
    Webmaster
    Inscrit en
    Mai 2011
    Messages
    1 049
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : Belgique

    Informations professionnelles :
    Activité : Webmaster
    Secteur : Enseignement

    Informations forums :
    Inscription : Mai 2011
    Messages : 1 049
    Points : 1 689
    Points
    1 689
    Billets dans le blog
    2
    Par défaut
    Je pense que si les développeurs de Wordpress n'ont pas réagi plus que cela, c'est qu'ils ont estimé que les risques étaient (assez) faibles.
    De fait, s'il faut être utilisateur, c'est que les administrateurs du site n'ont pas pris la peine d'empêcher la fonction "Tout le monde peut s'inscrire sur le site".
    D'autre part, il y a de plus gros risques, des propriétaires de sites ne faisant ni la mise à jour de Wordpress ni de leur thème ni des plugins. Ce qui me semble être des "failles" bien plus risquées...

Discussions similaires

  1. Réponses: 0
    Dernier message: 29/07/2015, 13h38
  2. Réponses: 2
    Dernier message: 24/07/2015, 17h21
  3. Réponses: 4
    Dernier message: 05/07/2015, 10h51
  4. Microsoft découvre une faille dans MFC
    Par Gordon Fowler dans le forum Actualités
    Réponses: 18
    Dernier message: 14/07/2010, 13h42
  5. Linux : Une faille dans le nouveau noyau 2.6.31
    Par ovh dans le forum Administration système
    Réponses: 20
    Dernier message: 23/09/2009, 13h48

Partager

Partager
  • Envoyer la discussion sur Viadeo
  • Envoyer la discussion sur Twitter
  • Envoyer la discussion sur Google
  • Envoyer la discussion sur Facebook
  • Envoyer la discussion sur Digg
  • Envoyer la discussion sur Delicious
  • Envoyer la discussion sur MySpace
  • Envoyer la discussion sur Yahoo