CERT-FI haavoittuvuustiedote 114/2008

10.9.2008

Wordpress 2.6.2 julkaistu


Kohde:	- palvelimet ja palvelinsovellukset	Lisätietoja
Hyökkäystapa:	- etäkäyttö - ilman käyttäjän toimia	Lisätietoja
Hyväksikäyttö:	- käyttövaltuuksien laajentaminen - tietojen muokkaaminen - luottamuksellisen tiedon hankkiminen - palvelunestohyökkäys - suojauksen ohittaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

WordPress on yleisesti käytetty ohjelmisto blog-tyyppisten www-sivustojen julkaisualustana. Siitä on löydetty kaksi haavoittuvuutta, jotka yhdessä voivat mahdollistaa käyttäjätunnusten kaappaamisen.

Ensimmäinen haavoittuvuuksista voi mahdollistaa minkä tahansa käyttäjätunnuksen salasanan uudelleenasettamisen. Käyttäjätunnukselle tehdään satunnainen salasana, joka lähetetään käyttäjälle sähköpostitse. Haavoittuvuus johtuu pitkien käyttäjätunnuksien virheellisestä lyhentämisestä, jolloin käyttäjätunnus, jonka loppuosana on useita välilyöntejä, tulkitaan yhteneväksi olemassaolevan käyttäjätunnuksen kanssa.

Toinen haavoittuvuus liittyy ohjelmiston käyttämään puutteelliseen satunnaisuuteen. Tämä voi mahdollistaa muun muassa järjestelmän luoman satunnaisen salasanan selvittämisen. Haavoittuvuus liittyy PHP-kielen pseudosatunnaislukufunktioiden virheelliseen käyttöön.

WordPress-ohjelmiston laajan levinneisyyden vuoksi on hyvin todennäköistä, että haavoittuvuutta tullaan käyttämään aktiivisesti hyväksi. Blogien, jotka sallivat avoimen käyttäjätunnusten rekisteröinnin, tulee päivittää WordPress ensi tilassa.

HAAVOITTUVAT OHJELMISTOT:

WordPress ennen versiota 2.6.2

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuva ohjelmisto valmistajan ohjeen mukaisesti.

LISÄTIETOA:

http://wordpress.org/download/

PÄIVITYSHISTORIA:

10.9.2008, kello 16.40: Julkaistu

Sivua päivitetty 10.09.2008

Tulostusversio