พบช่องโหว่สร้าง DoS กับไซต์ WordPress โดยใช้คอมพิวเตอร์แค่เครื่องเดียว

Barak Tawily นักวิจัยชาวอิสราเอลได้ค้นพบช่องโหว่ที่สามารถสร้าง DoS ให้กับไซต์ของ WordPress ได้ด้วยเครื่องคอมพิวเตอร์เพียงเครื่องเดียว โดยอาศัยองค์ประกอบของ WordPress Script เอง

ช่องโหว่หมายเลข CVE-2018-6389 ยังไม่มีข้อมูลปรากฏแต่ทางบล็อกของนักวิจัยได้อธิบายถึงการค้นพบช่องโหว่ว่าเกิดจาก 2 ปัจจัยของ WordPress คือ

• Load-scripts.php ซึ่งสามารถถูกเรียกได้โดยไม่ต้องพิสูจน์ตัวตน
• load [] หรือพารามิเตอร์ของ Load-scripts.php ซึ่งเป็นค่าอาเรย์ โดยถูกใช้เพื่อใส่ Script ที่จะถูกมัดรวมและโหลดเพื่อเพิ่มประสิทธิภาพในการใช้งาน เช่น การใช้งานกับ wp-login.php ที่สามารถถูกเรียกได้ก่อนที่ผู้ใช้จะผ่านการพิสูจน์ตัวตน

โดย WordPress เองมีลิสต์ของ Scripts ต่างๆ ใน wp_scripts ซึ่งถูก Hard-coded อยู่ภายใน script-loader.php และมีจำนวนถึง 181 ไฟล์นักวิจัยจึงทดสอบครั้งแรกด้วยการเรียกไฟล์ทั้งหมดในครั้งเดียวผลปรากฏคือใช้เวลาประมาณ 2.2 วินาทีในการได้รับข้อมูลทั้งหมด 4 Mb จึงทดสอบครั้งที่สองด้วยการเขียน Python เพื่อเรียกซ้ำข้อมูลเหล่านี้เรื่อยๆ จนเกิดการโจมตีแบบ DoS กับเซิร์ฟเวอร์ของไซต์ WordPress ได้ โดยนักวิจัยได้แจ้ง Bug ผ่านทาง HackerOne แต่ทาง WordPress เองไม่ได้ยอมรับว่าเป็นช่องโหว่และให้เหตุผลว่าต้องแก้ไขที่ระดับเซิร์ฟเวอร์และเครือข่ายแทนที่จะแก้ไขที่แอปพลิเคชัน อย่างไรก็ตามนักวิจัยได้แย้งด้วยเหตุผล 2 ประการคือ

• ผู้ใช้งาน WordPress เป็นบล็อกหรือธุรกิจระดับเล็กมักจะใช้งานบนเซิร์ฟเวอร์ราคาถูกที่เชื่อถือผู้ให้บริการ อีกทั้งยังไม่มีความรู้ด้านเทคนิคมากนักทำให้ไม่มีทางที่จะป้องกันตัวเองในระดับเซิร์ฟเวอร์หรือเครือข่ายได้เองเลย
• นักวิจัยได้แสดงถึงการแก้ไขว่ามันไม่ได้ทำยากนักโดยทำแพตซ์ให้ผู้ใช้ที่ได้รับการพิสูจน์ตัวตนแล้วเท่านั้นจึงจะสามารถโหลด *.php ไฟล์ได้ โดยไม่กระทบต่อหน้า wp-login.php อีกด้วย อีกทั้งยังให้ Bash Script เพื่อแก้ไขไฟล์ที่เกี่ยวข้องเพื่อบรรเทาปัญหาช่องโหว่นี้เช่นกัน

ที่มา : http://www.securityweek.com/one-computer-can-knock-almost-any-wordpress-site-offline