IdentifiantMot de passe
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Les pirates commencent à exploiter la faille de l'API REST de WordPress pour arnaquer les utilisateurs
Plus d'un million de sites sont vulnérables

Le , par Olivier Famien
31 commentaires

238PARTAGES

7  0 
WordPress : Plus de 90 000 sites et blogs seraient victimes d'attaques lancées par quatre groupes de hackers,
altérant ainsi leur contenu

Nous vous annoncions récemment que la version 4.7.2 de Wordpress a été libérée en urgence afin de corriger trois failles de sécurité dont une faille de type injection SQL et XSS (Cross-site scripting). En effet, cette nouvelle version est sortie juste deux semaines après que l'équipe de WordPress avait annoncé la disponibilité de la version 4.7.1 de son système de gestion de contenu (CMS en anglais) qui intègre la correction de huit (8) failles de sécurité et plusieurs bogues estimés à 62.

D'après les informations recueillies, la dernière version de WordPress en l'occurrence la version 4.7.2 n'a pas permis de corriger les failles de sécurité sur les versions antérieures au 4.7. Selon le cabinet de sécurité Sucuri, l'ensemble des sites et blogs qui n'ont pas encore fait l'objet de mise à jour sont exposés à une vaste campagne d'attaques par injection SQL qui seraient lancées par quatre groupes de hackers. Sucuri affirme qu'en exploitant les failles de sécurité, les hackers sont en mesure de changer le contenu des sites ou blogs infectés ainsi que le titre des pages, cela en y ajoutant des images et leur nom. Aujourd'hui, Google a déjà référencé plus de 90 000 sites déjà infectés via les attaques de l'un des groupes les plus actifs. Pour s'en assurer, il suffit de taper « by w4l3XzY3 » sur le moteur de recherche de la firme de Mountain View.


Sucuri nous informe que les adresses IP utilisées par le groupe de hackers w4l3XzY3 sont les suivantes :
  • 176.9.36.102 ;
  • 185.116.213.71 ;
  • 134.213.54.163 ;
  • 2A00: 1a48: 7808: 104: 9b57: dda6: eb3c: 61e1.

Quant aux trois autres campagnes lancées par les groupes de hackers Cyb3r-Shia, By+NeT.Defacer et By+Hawleri_hackequi, Google a référencé près de 500 victimes pour chacune d'elles. Sucuri lui a identifié les adresses IP ci-après :
  • 37.237.192.22 ;
  • 144.217.81.160.

« WordPress dispose d'une fonctionnalité de mise à jour automatique activée par défaut, en même temps qu'une procédure de mise à jour manuelle en un clic. Malgré cela, plusieurs personnes ne sont pas au courant de ce problème qui affecte l'API REST ou ne sont pas en mesure de mettre à jour leur site. Cela conduit à un grand nombre de sites compromis et altérés », a déclaré Sucuri.

Face à ces menaces, le cabinet de sécurité Sucuri invite tous les utilisateurs à procéder à la mise à jour de leur système de gestion de contenu (CMS). Il est également recommandé de bloquer les adresses IP citées ci-dessus.

Source : Sucuri

Et vous ?

Que pensez-vous de cette vulnérabilité ?
Avez-vous déjà été infectés ?
Avez-vous procédé à la mise à jour de votre version de WordPress ?

Voir aussi
WordPress sort en urgence la mise à jour 4.7.2 pour corriger trois failles de sécurité incluant une faille de type injection SQL et XSS
Vous avez lu gratuitement 704 articles depuis plus d'un an.
Soutenez le club developpez.com en souscrivant un abonnement pour que nous puissions continuer à vous proposer des publications.

Une erreur dans cette actualité ? Signalez-nous-la !

31 commentaires
Commenter Signaler un problème
Geoffrey74
Avatar de Geoffrey74
Membre éclairé https://www.developpez.com
Le 24/02/2017 à 7:06
Voila pourquoi j'évite autant que possible l'utilisation de CMS, toujours à la merci d'une faille que peut ne pas être comblée rapidement

371 000 résultat ce matin !

Je l'ai vu à mainte reprise, souvent des "développeur" propose la mise en place d'un site pour quelques centaine d'euros, en posant un wordpress, un thème gratuit et hop, c'est en place.
Au départ tout est à jours (et encore pas toujours), mais avec le temps, aucun suivi n'est fait et le propriétaire n'y connaissant rien, pense que tout est OK et ne se doute même pas que leur site n'est pas à jour et sécurisé.

Vrai question, un webmaster peut il est inquiété pour ce genre de chose ? Même si il n'est pas sous contrat, doit il avoir un devoir de morale envers ses clients ?
1  0 
Jarodd
Avatar de Jarodd
Membre expérimenté https://www.developpez.com
Le 24/02/2017 à 9:46
S'il n'est pas sous contrat, que le client n'a pas payé pour de la maintenance, on ne peut rien reprocher au développeur. Il ne va pas bosser gratuit non plus...
Par contre il a un devoir de conseil, il doit avertir son client qu'il existe toujours un risque d'exploitation de failles, notamment si on n'est plus à jour, qui est plus répandu avec un CMS qu'avec une solution développée, au client de faire son choix (c'est pas le même tarif). Il y a certains clients qui demandent qu'on leur mette en place le site, et ensuite ils font eux-même les mises à jour, donc la maintenance n'est pas de la responsabilité du développeur.
0  0 
jfsenechal
Avatar de jfsenechal
Membre averti https://www.developpez.com
Le 24/02/2017 à 10:00
les pirates envoient simplement une charge utile vers l’API REST, ce qui leur permet d’élever leurs privilèges
Ca consite en quoi, quelqu'un sait m'expliquer ?
0  0 
SkyZoThreaD
Avatar de SkyZoThreaD
Membre expérimenté https://www.developpez.com
Le 24/02/2017 à 13:20
La charge utile ou "payload", c'est du code exécutable sous forme de texte qu'on fait passer par une faille de sécurité (un dépassement de tampon ou "overflow" la plupart du temps) et qui s’exécute sur la machine de la victime.
Comme le code n'est pas attendu par la machine, il est exécute sans contrôle de l'OS et obtient tous les droits sur le système.
La plupart du temps, les payloads sont très petits et permettent uniquement de créer une connexion avec la machine de l’attaquant qui reçoit un accès root par une connexion tcp.
Les firewalls standards n'aident pas car la demande de connexion vient de la machine de la victime et le firewall laisse passer les connexions dans ce sens là.
0  0 
kilroyFR
Avatar de kilroyFR
Membre éprouvé https://www.developpez.com
Le 25/02/2017 à 14:54
Pas la peine de jeter la pierre aux developpeurs du CMS. Combien d'entreprises ont des developpeurs qui comprennent techniquement a peine ce qu'ils font et autorisent ce genre de trous de securité.
J'ai tendance a croire que l'efficacité a resoudre ce probleme est meilleure sur des CMS que sur des applis "maisons" pour lesquelles toutes les securité de base sont souvent omises parce que codé a l'arrache. Au moins le CMS fait deja un minimum.
Ce sont souvent les logiciels les plus populaires qui sont attaqués; ca ne veut pas dire pour autant qu'ils sont codés avec les pieds. Bon ok ils en ont trouvé une qui sera patchée et basta. On a eu le cas recemment avec Mongodb ou là c'etait plus grave puisqu'il s'agissait de vidage de BDD complet ! Là c'est plus problématique.
0  0 
Geoffrey74
Avatar de Geoffrey74
Membre éclairé https://www.developpez.com
Le 26/02/2017 à 12:05
Citation Envoyé par kilroyFR Voir le message
Pas la peine de jeter la pierre aux developpeurs du CMS.
D'accord avec toi, quand j'entends le mot développeurs, je comprend quelqu'un qui maitrise, ou connait un minimum.
Je parlais plus précisément des personnes qui n'y connaissent strictement rien et qui utilisent ces CMS pensant cela sûre et utilisent moulte plugins pour faire "beau".

Après ce n'est que mon avis, mais j'ai tendance à penser que plus on utilise de plugins externe, plus le risque de faille est important.
0  0 
SurferIX
Avatar de SurferIX
Membre chevronné https://www.developpez.com
Le 01/03/2017 à 22:18
Allez, voici un exemple que je donne sur l'opérateur ternaire à "utiliser avec parcimonie" = une seule fois à mes étudiants.
Le code source officiel de Wordpress, ligne 600 :
https://github.com/WordPress/WordPress/blob/master/wp-admin/includes/class-wp-comments-list-table.php

Code : Sélectionner tout 
( ( ( 'approve' === $action || 'unapprove' === $action ) && 2 === $i ) || 1 === $i ) ? $sep = '' : $sep = ' | ';
Ce code est impossible à comprendre donc impossible à déboguer.
Oui oui c'est bien dans l'administration. Dossier wp-admin.

Sur les lignes qui suivent, une fois un if avec accolades, une fois sans, une fois l'utilisation des guillemets, une fois des côtes, les lignes suivants sont des aberrations.

Sérieusement, si on accepte de garder du code aussi pourri dans le coeur même de Wordpress, ne peut-on pas s'attendre au pire ?

La seule chose amusante en se balladant dans le code source, c'est qu'on peut presque voir le profil des développeurs : "tiens, là il y avait un bon", "tiens, là c'était un débutant", "tiens, là des gifles se perdent".
0  0 
psykokarl
Avatar de psykokarl
Membre confirmé https://www.developpez.com
Le 02/03/2017 à 8:38
Isoler une ligne de code de son contexte la rend forcément incompréhensible pour ceux qui ont un peu de mal avec les raisonnements abstraits, même quand celle ci est extraite d'un "bon" code.

Je ne vois pas pourquoi l'opérateur ternaire devrait être utiliser avec parcimonie. C'est une structure simple qui tient sur une ligne et qui ne nécessite pas que l'on se ballade sur des dizaines de fichiers pour en comprendre l'utilité.
L'utilisation qui en est faite est peu orthodoxe de mon point de vue mais dans la mesure ou le code fonctionne il est évident qu'il s'agit d'un "if-else" sur une ligne de plus, allez comprendre pourquoi, les types qui conçoivent les tests d'embauche sont friand d'utilisation non orthodoxes de features... Le seul reproche que je pourrais faire à cette utilisation c'est que l'affectation de variable ne saute pas aux yeux quand on est pressé mais je tends à me concentrer assez vite sur les éléments de code qui posent problème et à négliger même les structures utilisée de façon classique. Sans regarder le reste du code (dois aller bosser), si d'aventure j'ai besoin de savoir à quoi sert la variable $sep qui l'affectation conditionnel à la valeur "|" m'indique qu'il s'agit probablement du $sep de "separator" probablement une construction de chaine qui compte, séparation présumée nécessaire quand la variable $i (incrément contextuelle ?) est égale à 2 ...
0  0 
cboulan
Avatar de cboulan
Candidat au Club https://www.developpez.com
Le 02/03/2017 à 9:45
Bonjour,

La vulnérabilité de Wordpress est elle également effective pour une version du CMS plus ancienne que la 4.7 ou 4.7.1 (exemple 4.3.8) ?

Cordialement,
0  0 
SurferIX
Avatar de SurferIX
Membre chevronné https://www.developpez.com
Le 02/03/2017 à 10:11
Citation Envoyé par psykokarl Voir le message
Isoler une ligne de code de son contexte la rend forcément incompréhensible pour ceux qui ont un peu de mal avec les raisonnements abstraits, même quand celle ci est extraite d'un "bon" code.
Je ne vois pas pourquoi l'opérateur ternaire devrait être utiliser avec parcimonie.
Euh t'es vraiment en train de dire que un ternaire dans un ternaire dans un ternaire c'est pas gênant pour comprendre un code ? Sérieusement ?

T'es vraiment le genre de personnes qui disent "ah bah allez, fumer une cigarette de temps en temps c'est pas grave rôooooooooh"...

Je suis peut être un peu extrémiste et comme je n'ai jamais fumé de ma vie (véridique, je ne fais jamais quelque chose juste "pour faire comme tout le monde" (90% des fumeurs le font)), j'ai tendance à me comporter pareil pour le code : un ternaire dans un ternaire dans un ternaire est incompréhensible, et si un type met ça comme code c'est forcément que ça ne le dérange pas d'avoir du bordel. Et forcément, le bordel, tout le monde en pâtit, tôt ou tard. Mais là non seulement je suis un peu extrémiste mais aussi vieux, et c'est mon expérience qui parle....
0  0 
Commenter Signaler un problème