IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)
Navigation

Inscrivez-vous gratuitement
pour pouvoir participer, suivre les réponses en temps réel, voter pour les messages, poser vos propres questions et recevoir la newsletter

Sécurité Discussion :

Des chercheurs découvrent des failles critiques dans trois plugins WordPress utilisés sur 400 000 sites Web


Sujet :

Sécurité

  1. #1
    Expert éminent sénior

    Homme Profil pro
    Journaliste
    Inscrit en
    Janvier 2020
    Messages
    196
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Hauts de Seine (Île de France)

    Informations professionnelles :
    Activité : Journaliste
    Secteur : High Tech - Produits et services télécom et Internet

    Informations forums :
    Inscription : Janvier 2020
    Messages : 196
    Points : 13 695
    Points
    13 695
    Par défaut Des chercheurs découvrent des failles critiques dans trois plugins WordPress utilisés sur 400 000 sites Web
    Des chercheurs découvrent des failles critiques dans trois plugins WordPress utilisés sur plus de 400 000 sites Web
    permettant d'accéder à un compte administrateur, des correctifs sont disponibles

    De graves vulnérabilités ont été découvertes par des chercheurs dans trois plugins WordPress à savoir InfiniteWP Client, WP Time Capsule et WP Database Reset. Pour les deux premiers, il s'agit d'un bogue permettant facilement à n'importe quel utilisateur d'accéder à un compte administrateur. Pour WP Database Reset, la faille autorise à tous les utilisateurs authentifier de réinitialiser toutes les tables de la base de données ou de bénéficier des privilèges administratifs.

    Marc-Alexandre Montpas, chercheur chez Web Sucuri, explique dans un article que « des vulnérabilités logiques comme celles observées dans cette récente divulgation peuvent entraîner de graves problèmes pour les applications et composants Web. Ces failles peuvent être exploitées pour contourner les contrôles d'authentification - et dans ce cas, se connecter à un compte administrateur sans mot de passe ».

    Le 7 janvier, l'entreprise WebARX, spécialisée en cybersécurité a alerté Revmakx, le développeur de InfiniteWP Client et WP Time Capsule, sur la présence de failles critiques permettant à n'importe qui d'accéder à un compte administrateur sans aucune information d'identification. Ainsi, des malfaiteurs auraient pu supprimer du contenu, ajouter de nouveaux comptes et exécuter d'autres tâches malveillantes. D'ailleurs, le problème est très important au vu du nombre de sites utilisant les deux plugins : 300 000 pour InfiniteWP Client et 30 000 pour WP Time Capsule.

    « Du fait de la nature de la vulnérabilité, le contournement de l'authentification est rendu possible grâce à une erreur logique dans le code [de WP Database Reset], qui ne produit pas de réaction suspecte des pare-feux. Il peut donc être difficile de trouver et de déterminer d'où viennent ces problèmes », reconnaît Revmakx.


    Le développeur a ainsi réagi rapidement et a proposé les versions 1.9.4.5 de InfiniteWP Client et 1.21.16 de WP Time Capsule, qui corrigent les failles.

    Dans la nouvelle version, le code qui corrige la faille se présente comme suit :


    Comme indiqué sur l'image, les développeurs n'ont modifié que les actions add_site et readd_site qui ne rempliront plus la variable request_params mais reviendront au début de la fonction.

    Un jour après la découverte de WebARX, le fournisseur de pare-feu d'applications Web Wordfence a informé le développeur de WP Database Reset qu'elle a identifié deux failles de sécurité critiques : CVE-2020-7048 et CVE-2020-7047. La première permet à toute personne non authentifiée de réinitialiser toutes les tables de la base de données. La seconde, quant à elle, donne la possibilité aux utilisateurs authentifiés de bénéficier de privilèges administratifs et de pouvoir « supprimer tous les autres utilisateurs de la table avec une simple requête ».

    Le 13 janvier, le développeur du plugin installé sur environ 80 000 sites a répondu à la signalisation et le lendemain, la version 3.15, corrigeant les deux failles, a été rendue disponible.

    Si à ce jour, aucun site ne semble être affecté à cause de ces failles, les développeurs de ces plugins ont rapidement réagi et ont proposé des mises à jour corrigeant les bogues. Les utilisateurs de ces trois plugins devraient donc les mettre à jour immédiatement pour éviter des attaques.

    Sources : WebARX, Wordfence


    Et Vous ?

    Qu'en pensez-vous ?
    Utilisez-vous l'un de ces plugins sur votre site ? Les avez-vous déjà mis à jour ?
    Avez-vous remarqué d'autres vulnérabilités liées à ces plugins ?

    Voir aussi :

    Parmi les sites CMS piratés en 2018, 90 % sont des sites WordPress, et 97 % des sites PrestaShop piratés sont obsolètes, selon un rapport
    WordPress : le nombre de vulnérabilités a triplé en 2018. Une étude pointe du doigt les plugins comme la principale source des failles du CMS
    Des milliers de sites WordPress infectés redirigent les visiteurs vers des pages d'escroquerie au faux support technique
    Contribuez au club : Corrections, suggestions, critiques, ... : Contactez le service news et Rédigez des actualités

  2. #2
    Membre expert

    Profil pro
    activité : oui
    Inscrit en
    Janvier 2014
    Messages
    1 260
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations professionnelles :
    Activité : activité : oui

    Informations forums :
    Inscription : Janvier 2014
    Messages : 1 260
    Points : 3 402
    Points
    3 402
    Par défaut
    ...une réactivité qui fait plaisir à voir, et de la part de plusieurs acteurs qui plus est.
    Comme quoi, tout n'est pas négatif en ce qui concerne l'actualité sécurité en info'. =)
    Pensez à utiliser les pouces d’appréciation, pour participer à la visibilité de l'apport d'un propos, ou l'intérêt que vous y prêtez... qu'il soit positif ou négatif.

  3. #3
    Invité
    Invité(e)
    Par défaut
    Et combien de sites sont à jour maintenant ???

  4. #4
    Membre averti
    Homme Profil pro
    jardinier
    Inscrit en
    Avril 2018
    Messages
    198
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Gironde (Aquitaine)

    Informations professionnelles :
    Activité : jardinier

    Informations forums :
    Inscription : Avril 2018
    Messages : 198
    Points : 407
    Points
    407
    Par défaut pat
    WP gère le contenu sur la base des patterns, ce qui met à la portée de chacun un modèle approuvé par la communauté. Ce qui m'inquiète c'est l'utilisation des plugins qui dérogent à l'existence de ces règles et rendent le système instable: ils ne sont pas évalués par le système et l'encapsulation des extensions ne semble pas exister (une greffe plutôt qu'une fonctionnalité)?

    Au jeu d'échecs, le pat est une position dans laquelle le camp ayant le trait et n'étant pas sous le coup d'un échec, ne peut plus jouer de coup légal sans mettre son propre roi en échec. La partie est alors déclarée nulle quel que soit le matériel restant sur l'échiquier. Le pat met immédiatement fin à la partie. https://fr.wikipedia.org/wiki/Pat_(%C3%A9checs)

    Où comment se sortir d'une situation embarrassante...

  5. #5
    Membre expert

    Profil pro
    activité : oui
    Inscrit en
    Janvier 2014
    Messages
    1 260
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations professionnelles :
    Activité : activité : oui

    Informations forums :
    Inscription : Janvier 2014
    Messages : 1 260
    Points : 3 402
    Points
    3 402
    Par défaut
    Il me semble que "pat" c'est aussi quand tu fais 3 aller-retours consécutif (volontairement ou par contrainte).
    exemple :
    - je bouge la tour de la case X à la case Y
    - mon adversaire joue
    - je bouge de Y pour retourner à X
    - l'adversaire joue
    - moi : X -> Y
    etc.
    Pensez à utiliser les pouces d’appréciation, pour participer à la visibilité de l'apport d'un propos, ou l'intérêt que vous y prêtez... qu'il soit positif ou négatif.

  6. #6
    Membre averti
    Homme Profil pro
    jardinier
    Inscrit en
    Avril 2018
    Messages
    198
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Gironde (Aquitaine)

    Informations professionnelles :
    Activité : jardinier

    Informations forums :
    Inscription : Avril 2018
    Messages : 198
    Points : 407
    Points
    407
    Par défaut
    une maj s'impose... "On appelle aussi parfois la pièce qui s'offre ainsi de manière continuelle à la capture un desperado ou pièce enragée." wikipedia: sacrifice(échecs), la correction apportée pour résoudre la faille semble précaire et propre à attirer l'attention, mais n'est ce pas l'attitude du bouclier et de l'épée ?

Discussions similaires

  1. Réponses: 1
    Dernier message: 26/06/2015, 09h16
  2. Réponses: 0
    Dernier message: 19/03/2015, 19h04
  3. Réponses: 18
    Dernier message: 29/08/2014, 23h09

Partager

Partager
  • Envoyer la discussion sur Viadeo
  • Envoyer la discussion sur Twitter
  • Envoyer la discussion sur Google
  • Envoyer la discussion sur Facebook
  • Envoyer la discussion sur Digg
  • Envoyer la discussion sur Delicious
  • Envoyer la discussion sur MySpace
  • Envoyer la discussion sur Yahoo