Nieuws
image

Kritiek lek in WordPress-plug-in laat aanvaller wachtwoord admin wijzigen

donderdag 23 november 2023, 09:58 door Redactie, 3 reacties

Een kritieke kwetsbaarheid in de WordPress-plug-in UserPro maakt het mogelijk voor aanvallers om het wachtwoord van elke willekeurige gebruiker te wijzigen, waaronder de admin, en zo de site over te nemen. De ontwikkelaars van UserPro, dat op meer dan twintigduizend websites is geïnstalleerd, werden op 10 mei ingelicht en kwamen op 31 oktober met een patch die het probleem volledig verhelpt.

UserPro biedt WordPress-sites extra gebruikersbeheer, zoals aangepaste registratieformulieren en inlogvensters. Een beveiligingslek in de plug-in, aangeduid als CVE-2023-2449, maakt het mogelijk voor aanvallers om de wachtwoorden van alle gebruikers te wijzigen. Het probleem wordt veroorzaakt doordat de plug-in de standaard wachtwoordresetfunctie van WordPress gebruikt gecombineerd met onvoldoende validatie van de resetfunctie.

"De functie gebruikt de plaintext waarde van de wachtwoordreset-key in plaats van een gehashte waarde, wat inhoudt dat die eenvoudig is te achterhalen en te gebruiken", aldus securitybedrijf Wordfence dat het probleem ontdekte en rapporteerde. Om misbruik van CVE-2023-2449 te kunnen maken moet een aanvaller wel over een andere kwetsbaarheid beschikken, maar twee van dergelijke lekken werden ook door Wordfence ontdekt.

Nadat de ontwikkelaars op 10 mei waren ingelicht kwamen die op 27 juli met een gedeeltelijke oplossing. Op 31 oktober verscheen versie 5.1.5 van de plug-in waarin het probleem volledig is verholpen. Wordfence heeft de details nu openbaar gemaakt. De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.8.

Reacties (3)
Reageer met quote
23-11-2023, 12:34 door Anoniem
L.S.,

Gevaar van niet op tijd updaten en upgraden.

Veel Word Press sites worden niet goed geconfigureerd
(user enumeration en directory listing later niet ge-disabled),
verder het draaien van veel onveilige of niet-bijgehouden plug-ins.

Check je site met een quick-and-dirty scan hier: https://hackertarget.com/wordpress-security-scan/

Wat brengt een dure en gelikte site, waar later geen onderhoud meer op/aan wordt gepleegd?
Dat is zonde van het geld en kost je op den duur meer dan het oplevert.

luntrus
Reageer met quote
23-11-2023, 14:18 door Anoniem
Door Anoniem: L.S.,

Gevaar van niet op tijd updaten en upgraden.

Veel Word Press sites worden niet goed geconfigureerd
(user enumeration en directory listing later niet ge-disabled),
verder het draaien van veel onveilige of niet-bijgehouden plug-ins.

Check je site met een quick-and-dirty scan hier: https://hackertarget.com/wordpress-security-scan/

Wat brengt een dure en gelikte site, waar later geen onderhoud meer op/aan wordt gepleegd?
Dat is zonde van het geld en kost je op den duur meer dan het oplevert.

luntrus
Het ergste is dat het allemaal niet zo moeilijk is. Standaard wordpress tegenwoordig update alle plugins bij activiteit op de site waar geen losse update platform voor nodig is. Je moet dit expliciet uitzetten of geen verkeer over de site hebben lopen. En bij al bestaande sites enkel in wpconfig.php de regel define( 'WP_AUTO_UPDATE_CORE', true ); toevoegen.

Het probleem is alleen dat je vaak stront eigenwijze klanten hebt die geen managed hosting willen afnemen en vervolgens niet monitoren of alle technieken nog wel doen wat ze moeten doen nog vendor news lezen of laat staan ontvangen.
Reageer met quote
26-11-2023, 08:51 door Anoniem
Wat heb je aan het laten maken van een gelikte WP website voor aardig wat geld,
als je er later dan geen onderhoud op/aan wilt plegen?

Onderhoud is overal in Nederland het ondergeschoven kindje.
Roltrappen in storing of uitgezet, gaat u maar lopen met uw zware koffer.

Onderhoudsmonteur zit thuis of is ziek.

Waarom ligt heel Nederland en de omgeving ervan op apegapen?
Het blijft oorverdovend stil.
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.

Zoeken
search