सुरक्षा सप्ताह 40: सीएमएस ड्रुपल और अधिक में कमजोरियां

पिछले हफ्ते, सीएमएस ड्रुपल डेवलपर्स ने बंद कर दिया ( समाचार , उनकी वेबसाइट पर अधिक विवरण) एक ही बार में दो महत्वपूर्ण कमजोरियां। दोनों मुद्दे Drupal संस्करण 7.x और 8.x को प्रभावित करते हैं। सबसे गंभीर भेद्यता की खोज अंतर्निहित ई-मेल भेजने प्रणाली (DefaultMailSystem :: mail) () में की गई थी। आप इसे इस तरह से उपयोग कर सकते हैं कि संदेश को संसाधित करते समय, मनमाने कोड को निष्पादित करना संभव हो जाता है। इसका कारण, हमेशा की तरह, कई चरों के उचित सत्यापन का अभाव है।

दूसरी कमजोरियों को प्रासंगिक लिंक्स मॉड्यूल में खोजा गया था - यह आपको नियंत्रण कक्ष पर जाने के बिना वेब पेजों के तत्वों को संशोधित करने की अनुमति देता है। इस तरह के अनुरोध के निष्पादन के दौरान पारित मापदंडों के सत्यापन का अभाव भी कोड निष्पादन को जन्म दे सकता है। सच है, पहली भेद्यता के विपरीत, यह केवल तभी शोषण किया जाता है जब हमलावर को पहले से ही साइट को संपादित करने का अधिकार है।

ऐसी खबर आम तौर पर पचाने में नहीं आती है: अच्छी तरह से, अच्छी तरह से बंद, अच्छी तरह से किया गया! लेकिन साल में कम से कम एक बार, यह सबसे लोकप्रिय सामग्री प्रबंधन प्रणालियों को देखने और भविष्य में यह समझने के लायक है कि चीजें सुरक्षा के साथ कैसे चल रही हैं। क्या सीएमएस संस्करणों का विखंडन, उदाहरण के लिए, एंड्रॉइड प्लेटफ़ॉर्म के विखंडन के समान है? क्या यह सुरक्षा के साथ इतना बुरा है, उदाहरण के लिए, उन IoT उपकरणों के उद्योग में जो IoT डिवाइस नहीं हैं, लेकिन राउटर और कैमरे? आइए देखते हैं।

पहले आपको यह समझने की जरूरत है कि कहां देखना है। किसी विशेष CMS के उपयोग के बारे में पर्याप्त विस्तृत जानकारी वेब प्रौद्योगिकी सर्वेक्षण प्रदान करती है। संसाधन के लेखक नियमित रूप से इंटरनेट पर (एलेक्सा सेवा रेटिंग के अनुसार) 10 मिलियन सबसे अधिक देखी गई साइटों को स्कैन करते हैं और उपयोग की जाने वाली सामग्री प्रबंधन प्रणालियों का विश्लेषण करते हैं। अध्ययन के सामान्य परिणाम इस पृष्ठ पर देखे जा सकते हैं, यहाँ एक ग्राफ है:


खैर, सबसे पहले, 46.1% साइटों के लिए सीएमएस के बारे में जानकारी प्राप्त करना संभव नहीं था, अधिक सटीक रूप से, ऐसी किसी भी प्रणाली का उपयोग नहीं किया जाता है जो इस सेवा को मज़बूती से पहचान सकती है। उन साइटों में जहां सीएमएस निर्धारित किया गया था, निर्विवाद नेता वर्डप्रेस है, एक प्रकार का एंड्रॉइड सीएमएस-बाजार। एक महत्वपूर्ण अंतराल के साथ दूसरे और तीसरे स्थान पर जूमला और ड्रुपल का कब्जा है, और फिर टॉप 10 में मुख्य रूप से ऐसी सेवाएं हैं जो अपने स्वयं के मंच पर एक तैयार साइट के निर्माण की पेशकश करती हैं, जिनके लिए आसान और तेज की आवश्यकता होती है। साथ में, Joomla, Drupal और Wordpress प्रसिद्ध CMS वाली 68.8% साइटों पर स्थापित हैं, या अध्ययन किए गए 10 मिलियन में से सभी साइटों का 37.2% है।

सीएमएस पसंद के स्तर पर पहले से ही विखंडन स्पष्ट है: वर्डप्रेस स्पष्ट नेता है, लेकिन यह केवल ऑनलाइन संसाधनों के एक तिहाई पर स्थापित किया गया है, और किसी कारण के लिए सामान्य कार्यों में साइटों का आधा हिस्सा है। शायद वहाँ एक उदास व्यवस्थापक अभी भी FTP पुराने स्कूल के माध्यम से स्थिर HTML डाउनलोड करता है। इस विविधता से निष्कर्ष निकालना मुश्किल है: एक तरफ, विखंडन हमलावर के जीवन को जटिल बनाता है, दूसरे पर - कोई भी वास्तव में नहीं जानता कि लगभग आधे इंटरनेट की सुरक्षा के साथ चीजें कैसे होती हैं। क्रिप्टोग्राफी में, स्व-लिखित एन्क्रिप्शन एल्गोरिदम को लंबे समय तक तेज रेक के बराबर किया गया है। क्या वेब प्रबंधन कोई अलग होना चाहिए?

आइए तीन सबसे लोकप्रिय सीएमएस के लिए संस्करणों के वितरण को देखें। यहाँ Wordpress के लिए वितरण है। w3tech अपनी रिपोर्ट को प्रतिदिन अपडेट करते हैं ताकि जानकारी नवीनतम होने की उम्मीद है।


किसी तरह उबाऊ भी। चलो वर्तमान संस्करण 4.x का विवरण देखें:


70% से अधिक वर्डप्रेस वेबसाइट्स (प्रकाशन तिथि के अनुसार) सबसे अद्यतित संस्करण (मुख्य रिलीज के नियमित अपडेट को छोड़कर) का उपयोग करती हैं। यह, निश्चित रूप से, एंड्रॉइड की तुलना में अधिक सुखद वितरण है, जहां वर्तमान संस्करण 8.x का उपयोग 19.2% उपकरणों द्वारा किया जाता है, लेकिन उतना नहीं जितना हम चाहते हैं।

डरने की कोई बात है? आइए Wordpress संस्करणों के इतिहास को देखें । संस्करण ४.१ को १५ नवंबर २०१ was को रिलीज़ किया गया था, यानी लगभग एक साल तक वर्डप्रेस ४. November और इससे पहले के संस्करण अप्रचलित हैं। संस्करण 4.9 के बाद से, कमजोरियों को ठीक करने के लिए कम से कम चार सीएमएस अपडेट किए गए हैं। उनमें से प्रत्येक का जोखिम कितना गंभीर है, यह अधिक विस्तृत अध्ययन के लिए एक विषय है, हालांकि पिछले एक साल में बिल्कुल महत्वपूर्ण कीड़े नहीं हुए हैं। फिर भी, जुलाई रिलीज 4.9.7 कुछ शर्तों के तहत भेद्यता को बंद कर देती है, जिससे आप अपलोड फ़ोल्डर के बाहर की फ़ाइलों को हटा सकते हैं।

आइए देखें कि पिछले सप्ताह के नायक - सीएमएस द्रुपाल क्या कर रहे हैं।


ऐसी बातें। Drupal 8.x के नवीनतम संस्करण का उपयोग 11.8% साइटों द्वारा किया जाता है जो आमतौर पर Drupal का उपयोग करते हैं। सबसे लोकप्रिय पिछली है (निष्पक्षता में, हम ध्यान दें - समर्थित) रिलीज 7.x. W3tech मुख्य शाखा के भीतर विशिष्ट रिलीज पर विवरण प्रदान नहीं करता है, इसलिए मान लें कि सभी को पहले से ही अपडेट किया गया है (यह, निश्चित रूप से, एक साहसिक धारणा है)। किसी भी स्थिति में, लगभग 10% Drupal साइट्स असमर्थित संस्करणों का उपयोग करती हैं 4.x - 6.x.

सीएमएस जूमला की स्थिति इस प्रकार है:


जूमला 3.8.13 का वर्तमान संस्करण हाल ही में - 9 अक्टूबर को जारी किया गया था। आप देख सकते हैं कि इतने कम समय में नवीनतम संस्करण में कितनी साइटें अपडेट की गई हैं।


शाखा 3.8 के सभी उपयोगकर्ताओं का 14.1%। या सभी जूमला उपयोगकर्ताओं में से 5.8% ऐसे हैं जो 13 दिनों में साइट को नवीनतम संस्करण में अपग्रेड करने में कामयाब रहे। यदि आप CMS को समय पर अपडेट नहीं करते हैं तो परिणाम क्या हैं? मैं Wordpress के लिए उदाहरणों पर वापस जाऊंगा, क्योंकि यह सबसे लोकप्रिय और सबसे हैक की गई वेब सामग्री प्रबंधन प्रणाली है। तो (अचानक), अधिकांश भाग के लिए दुर्भावनापूर्ण गतिविधि के लिए साइटों के व्यावहारिक अपहरण के बारे में संदेश मुख्य वर्डप्रेस कोड का उल्लेख नहीं करते हैं, लेकिन उनके प्लगइन्स।

उदाहरण के लिए, पिछले साल की खबरों में प्लग इन के बारे में, उदाहरण के लिए, फ़्लिकर गैलरी प्लगइन। दिसंबर 2017 में, Wordpress ने तीन और प्लगइन्स को अवरुद्ध किया - उन सभी को रचनाकारों द्वारा बेचा गया, और नए मालिकों ने बैकडोर को उनमें लागू किया। यहां प्लगइन्स के उपयोग का एक और विश्लेषण है जो लंबे समय से डेवलपर्स द्वारा छोड़ दिया गया है, महत्वपूर्ण कमजोरियां हैं और अभी भी सैकड़ों साइटों पर उपयोग किया जाता है।

और यह सिर्फ प्लगइन्स के बारे में नहीं है। बार-बार, एक क्रूर पासवर्ड का उल्लेख वर्डप्रेस साइटों (उदाहरण के लिए, यहां और यहां ) पर हमला करने की एक कार्य पद्धति के रूप में किया गया है। और यह समस्या वर्डप्रेस डेवलपर्स की क्षमताओं से परे भी है। Bruteforce को जटिल बनाने और सरलतम पासवर्ड का उपयोग न करने के लिए, न कि डेवलपरों के व्यवस्थापक और उपयोगकर्ताओं का कार्य है।

जब कोई साइट सफलतापूर्वक हैक हो जाती है तो क्या होता है? ऊपर, मैं खनिकों की स्थापना के बारे में समाचार का उल्लेख करता हूं, हालांकि अक्सर क्लासिक दुर्भावनापूर्ण स्क्रिप्ट साइटों पर दिखाई देती हैं। इस साल गर्मियों में एक महत्वपूर्ण मामला सामने आया: जुलाई में, कॉइनडैश ट्रेडिंग प्लेटफॉर्म को ICO के एक हिस्से के रूप में धन उगाहने के दौरान हैक किया गया था। वास्तव में साइट को कैसे हैक किया गया था, इसकी रिपोर्ट नहीं की गई है, यह जरूरी नहीं कि वर्डप्रेस में भेद्यता हो। लेकिन परिणाम स्पष्ट है: साइट पर विशेषाधिकार प्राप्त प्रतिभागियों से धन एकत्र करने के पहले चरण में, उन्होंने केवल धनराशि स्थानांतरित करने के लिए बटुए की संख्या को बदल दिया, जिसके परिणामस्वरूप क्रिप्टोक्यूरेंसी के बराबर 7.7 मिलियन डॉलर हमलावरों के पास गए। इस बारे में Reddit पर एक दिलचस्प चर्चा है : क्या यह महत्वपूर्ण मामलों में एक स्थैतिक पृष्ठ बनाने के लिए अधिक विश्वसनीय नहीं होगा? ओह, यकीन नहीं है जो अधिक विश्वसनीय है।

इस मिनी-अध्ययन के परिणामों के आधार पर, एक स्पष्ट सवाल उठता है: क्या सीएमएस कोड को अपडेट करना वास्तव में आवश्यक है, अगर महत्वपूर्ण कमजोरियां हमेशा उपलब्ध नहीं होती हैं, तो अक्सर प्लगइन्स के माध्यम से या पासवर्ड ब्रूट बल के माध्यम से भी साइटें हैक की जाती हैं? जैसा कि राउटर के मामले में, उपायों का एक सेट वास्तविक लाभ लाता है: सीएमएस को अपडेट करना, इंस्टॉल किए गए प्लगइन्स की सूची की समीक्षा करना और नियमित रूप से आवश्यक लोगों को अपडेट करना, व्यवस्थापक URL को बदलना, मजबूत पासवर्ड, बहु-कारक प्रमाणीकरण और बस उपयोगकर्ता ऑडिटिंग। वेबसाइट सुरक्षा (और कुछ भी) एक प्रक्रिया है, परिणाम नहीं।

टू-डू सूची में जोड़ें सीएमएस संस्करण की एक नियमित जांच इतनी मुश्किल नहीं है। यदि आपकी साइट को किसी तृतीय-पक्ष संगठन द्वारा प्रबंधित किया जाता है, तो नियमित रूप से अपडेट के मुद्दे पर अलग से चर्चा करना अतिश्योक्तिपूर्ण नहीं होगा। यदि आप एक बार "एक साइट सेट अप" कर चुके हैं, और तब से यह "बस काम करता है" बिना किसी समर्थन के - आपको समस्याएं हैं। जैसा कि हमने आज देखा, हर कोई एक कोड को अपडेट करने के रूप में वेबसाइट की सुरक्षा को बढ़ाने के लिए इस तरह के एक सरल उपाय का उपयोग नहीं करता है।

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय हमेशा कास्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।