Обнаружена уязвимость, позволяющая «положить» почти все сайты на движке WordPress

Независимому специалисту по информационной безопасности Бараку Товайли удалось обнаружить критическую уязвимость в CMS WordPress. Баг позволяет злоумышленникам эксплуатировать особенности файла load-scripts.php для массированной атаки, приводящей к отказу от обслуживания. Бреши присвоен идентификатор CVE-2018-6389, патчей для нее пока нет.

Детали находки

Файл load-scripts.php с уязвимостью внедрен в WP для обработки пользовательских запросов. Изначально он был создан для увеличения производительности сайтов путем объединения нескольких JS-файлов. Оказалось, что этот файл не оснащен дополнительной защитой. Это позволяет скрипту работать без необходимости вводить логин и пароль.

Основная задача load-scripts.php заключается в выборочной загрузке файлов JavaScript, названия которых перечисляются после параметра load. Так как этот файл включает в себя список используемых модулей, то можно одним запросом вывести все входящие в него элементы. В среднем общий объем предоставляемых файлов составляет 4 Мб. Посылая множество тяжеловесных запросов, можно создать нагрузку на подсистему хранения, что в итоге может привести к отказу от обслуживания.

Барак Товайли отметил, что с одного устройства можно навредить только WordPress-сайту на «слабом» сервере. Для успешной атаки на более серьезные проекты потребуются большие вычислительные мощности. Специалист опубликовал видеоролик, в котором продемонстрировал эксплуатацию уязвимости: