Breaking News

พบช่องโหว่สร้าง DoS กับไซต์ WordPress โดยใช้คอมพิวเตอร์แค่เครื่องเดียว

Barak Tawily นักวิจัยชาวอิสราเอลได้ค้นพบช่องโหว่ที่สามารถสร้าง DoS ให้กับไซต์ของ WordPress ได้ด้วยเครื่องคอมพิวเตอร์เพียงเครื่องเดียว โดยอาศัยองค์ประกอบของ WordPress Script เอง

Credit: WordPress

ช่องโหว่หมายเลข CVE-2018-6389 ยังไม่มีข้อมูลปรากฏแต่ทางบล็อกของนักวิจัยได้อธิบายถึงการค้นพบช่องโหว่ว่าเกิดจาก 2 ปัจจัยของ WordPress คือ

  • Load-scripts.php ซึ่งสามารถถูกเรียกได้โดยไม่ต้องพิสูจน์ตัวตน
  • load [] หรือพารามิเตอร์ของ Load-scripts.php ซึ่งเป็นค่าอาเรย์ โดยถูกใช้เพื่อใส่ Script ที่จะถูกมัดรวมและโหลดเพื่อเพิ่มประสิทธิภาพในการใช้งาน เช่น การใช้งานกับ wp-login.php ที่สามารถถูกเรียกได้ก่อนที่ผู้ใช้จะผ่านการพิสูจน์ตัวตน

โดย WordPress เองมีลิสต์ของ Scripts ต่างๆ ใน wp_scripts ซึ่งถูก Hard-coded อยู่ภายใน script-loader.php และมีจำนวนถึง 181 ไฟล์นักวิจัยจึงทดสอบครั้งแรกด้วยการเรียกไฟล์ทั้งหมดในครั้งเดียวผลปรากฏคือใช้เวลาประมาณ 2.2 วินาทีในการได้รับข้อมูลทั้งหมด 4 Mb จึงทดสอบครั้งที่สองด้วยการเขียน Python เพื่อเรียกซ้ำข้อมูลเหล่านี้เรื่อยๆ จนเกิดการโจมตีแบบ DoS กับเซิร์ฟเวอร์ของไซต์ WordPress ได้ โดยนักวิจัยได้แจ้ง Bug ผ่านทาง HackerOne แต่ทาง WordPress เองไม่ได้ยอมรับว่าเป็นช่องโหว่และให้เหตุผลว่าต้องแก้ไขที่ระดับเซิร์ฟเวอร์และเครือข่ายแทนที่จะแก้ไขที่แอปพลิเคชัน อย่างไรก็ตามนักวิจัยได้แย้งด้วยเหตุผล 2 ประการคือ

  • ผู้ใช้งาน WordPress เป็นบล็อกหรือธุรกิจระดับเล็กมักจะใช้งานบนเซิร์ฟเวอร์ราคาถูกที่เชื่อถือผู้ให้บริการ อีกทั้งยังไม่มีความรู้ด้านเทคนิคมากนักทำให้ไม่มีทางที่จะป้องกันตัวเองในระดับเซิร์ฟเวอร์หรือเครือข่ายได้เองเลย
  • นักวิจัยได้แสดงถึงการแก้ไขว่ามันไม่ได้ทำยากนักโดยทำแพตซ์ให้ผู้ใช้ที่ได้รับการพิสูจน์ตัวตนแล้วเท่านั้นจึงจะสามารถโหลด *.php ไฟล์ได้ โดยไม่กระทบต่อหน้า wp-login.php อีกด้วย อีกทั้งยังให้ Bash Script เพื่อแก้ไขไฟล์ที่เกี่ยวข้องเพื่อบรรเทาปัญหาช่องโหว่นี้เช่นกัน

ที่มา : http://www.securityweek.com/one-computer-can-knock-almost-any-wordpress-site-offline




About nattakon

จบการศึกษา ปริญญาตรีและโท สาขาวิศวกรรมคอมพิวเตอร์ KMITL เคยทำงานด้าน Engineer/Presale ดูแลผลิตภัณฑ์ด้าน Network Security และ Public Cloud ในประเทศ ปัจจุบันเป็นนักเขียน Full-time ที่ TechTalkThai

Check Also

Azure ประกาศฟีเจอร์ตรวจจับ Fileless Attack ด้วย Security Center เข้าสู่สถานะ GA แล้ว

Fileless Attack เป็นวิธีการโจมตีสมัยใหม่ที่ได้รับความนิยมเป็นอย่างมากเพราะช่วยให้สามารถหลีกเลี่ยงการตรวจจับของ Antivirus หรือกลไกการตรวจสอบแบบเดิมซึ่งตอนนี้ทาง Azure ได้พัฒนาความสามารถบน Security Center ให้ตรวจจับการโจมตีชนิดนี้ได้และได้ประกาศเป็นสถานะพร้อมใช้งานจริงแล้ว

รายงานพบ Data Center ส่วนใหญ่ไม่พร้อมรับมือกับสภาพอากาศเปลี่ยนแปลงรุนแรง

Uptime Institute ได้จัดทำรายงานเพื่อศึกษาถึงผลกระทบจากภัยธรรมชาติและการเปลี่ยนแปลงสภาวะทางสภาพอากาศต่อ Data Center โดยจุดประสงค์เพื่อให้ผู้ให้บริการตระหนักถึงความเสี่ยงของผลกระทบที่จะเกิดขึ้นซึ่งพบว่าผู้ประกอบการต่างๆ ไม่เคยวางแผนรองรับหรือไม่ได้ตระหนักถึงความเสี่ยงจะเกิดกับ Data Center ของตน