URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 122670
[ Назад ]
Исходное сообщение
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP, имеющем 500 тысяч установок"
Отправлено opennews , 13-Дек-20 11:51 
В WordPress-плагине Easy WP SMTP, предназначенном для организации отправки писем через SMTP-сервер и насчитывающем более 500 тысяч активных установок, выявлена уязвимость, позволяющая получить полный доступ к сайту с правами администратора. Проблема устранена в выпуске 1.4.4. Примечательно, что разработчики узнали о проблеме после  массовой атаки на сайты  с данным плагином, в ходе которой неизвестные злоумышленника меняли пароль администратора (0-day уязвимость, используемая для атаки до появления исправления)...

Подробнее: https://www.opennet.me/opennews/art.shtml?num=54250

Содержание
Сообщения в этом обсуждении
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено hgdslvodf , 13-Дек-20 11:51 
>в публично доступном каталоге "/wp-content/plugins/easy-wp-smtp/"

кривая настройка вебсервера и уязвимость плагина всё-таки разные вещи.

>для каталога не было настроено скрытие списка файлов

именно

>добавили файл index.html для запрета просмотра списка файлов

wat?

"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено InuYasha , 13-Дек-20 11:53 
Это доисторический рабочий трюк для сокрытия листинга. Сервер просто вернёт этот /dir/index.htm при обращении к /dir/
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено hgdslvodf , 13-Дек-20 11:54 
Спасибо
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 13-Дек-20 20:29 
Вот только по полному пути файл по-прежнему доступен.
По-хорошему надо запрещать запись в /www и разрешать только в специально отведённые папки как то /uploads logs и например в нечто plugins_data куда плагины могут сваливать свой рабочий мусор. Тогда все плагины, которые пишут данные куда попало идут лесом, нормальные плагины пишут куда следует, а инструкция по установке или сам установщик вордпреса на сервер делает нужные разрешения на папки. И проблема аналогичная данной решается для всех нынешних и будущих плагинов.
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Java omnomnom your memory linux , 14-Дек-20 12:47 
А потом люди ещё удивляются почему php не любят и весь бэк пишут на jvm/.net/etc
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 14-Дек-20 20:06 
Всего то лишь не осилили настроить .htaccess или конф nginx
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено InuYasha , 15-Дек-20 16:14 
А ещё chmod, chown, setfacl, и, для полного счастья - selinux. :)
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Х , 15-Дек-20 08:43 
Это все же вопрос не к php - веб-сервер при неверно заданных разрешениях вернет файл по пути при любом ЯП. Другое дело, что PHP-сайты часто куда более легковесно настроены, чем все эти ваши явы с их вебом )
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 14-Дек-20 10:55 
Только если у сервера index.html настроен в качестве индекс-файла.
Вообще конечно хранить в логах чувствительное содержимое без предупреждения по умолчанию - это полный ппц.
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 13-Дек-20 15:53 
> кривая настройка вебсервера

сдаётся, то был плагин-троян, чтобы читать почту нерадивых юзероадминов.

"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено InuYasha , 13-Дек-20 11:52 
Нахрена в проде вообще генерить ТАКОЙ лог да ещё и в папку в /www/?!!
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено hgdslvodf , 13-Дек-20 11:58 
WP не даёт ни абстракций ни реализаций для многих полезных вещей. Каждый разработчик городит свои велосипеды.
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 14-Дек-20 10:53 
Не включать детальный лог (не включать содержимое) по умолчанию и дать пользователю самому указать путь для хранения логов - это, конечно, уже немножко выше того, что могут современные разработчики, да.
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Современные разработчики , 14-Дек-20 16:44 
Да мы-то можем. Мы потом не можем объяснить щасливому юзверю, как ему получить дебаг для нас.

Поэтому сделали такой, который мы точно всегда можем прочитать. А что у вас там пароли в почте - ну кто ж знал?!

Мы-то себе прямо в базе всегда меняли...

"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Разработчик , 13-Дек-20 16:00 
А как я его тебе скачаю, если он не будет в www?!


"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 13-Дек-20 16:01 
А зачем тебе качать МОИ логи?!
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Разработчик , 13-Дек-20 16:06 
> А зачем тебе качать МОИ логи?!

Это не твои логи, это кого надо логи! Ты бы до этой новости даже и не узнал бы, что там есть какие-то логи.


"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 13-Дек-20 16:15 
> даже и не узнал бы, что там есть какие-то логи

я по логам веб-сервера узнал, что все кулхацкеры ищут на моём сайте какой-то "вротпресс".

"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Атон , 13-Дек-20 19:32 
дай им то чего они хотят
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено YetAnotherOnanym , 13-Дек-20 12:16 
> переместили лог в отдельный каталог и добавили сброс содержимого при каждой активации плагина

Они прямо-таки постигли дзен логирования: очистка логов при перезапуске - это как раз то, что нужно для разбора полётов в случае проблем.

"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 13-Дек-20 15:56 
Просто цель была другая: троян, а не плагин.
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено gogo , 15-Дек-20 02:36 
А я вот не постиг.
Про какую АКТИВАЦИЮ плагина они говорят? Когда его включают-выключают в панели ВП? Или при рестарте сессии, демона? Или после каждой отсылки письма?
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 13-Дек-20 14:07 
Самое интересное, что проблемы безопасности в таких случаях очень показательны.
Не сложные ошибки, эксплуатирующиеся по сторонним каналам, не проблемы самого языка, не какие-то интересные сбои.

Нет.

Так, халатность и разгильдяйство, самое дно того качества кода, что вообще может быть написан на PHP, и уже до такой степени показательно, что WP стал чудесной антирекламой языку.


Это удручает, и это отвратительно.

"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 13-Дек-20 14:18 
Смысл экономии в том чтобы дать минимально допустимое качество.
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 13-Дек-20 15:57 
> минимально допустимое качество

Это недопустимое качество.

"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Разработчик , 13-Дек-20 16:01 
Пятьсот тысяч установок!

Поучи нас еще, какое качество допустимое.

"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 13-Дек-20 16:18 
Снимаю перед Вами шляпу... Столько экземпляров трояна поставить!
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено InuYasha , 15-Дек-20 16:21 
> Снимаю перед Вами шляпу...

Ви, таки, непrавильно снимаете шляпу!
Успешные разработчики снимают её ради того лишь, чтобы в неё посыпались донатики )

"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 13-Дек-20 16:52 
Скоро на раст перепишут и все наладится
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 13-Дек-20 17:26 
Боюсь даже представить, какие тупейшие ошибки будут совершать растаманы, пишущие вротпресс.
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноньимъ , 14-Дек-20 02:53 
Наоборот, ВП главная реклама.

Имхо, не стоит фантазировать много на счёт пхп. Его единственная цель быть простым как инструмент и понятным даже Алле Пугачевой.

Вордпресс вершина на самом деле для ПХП. ЦМС для всех и каждого. Подключай плугины правь на коленке.

Безопасность качество скорость никогда речи об этом не шло с пхп.

"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 14-Дек-20 10:51 
Да, WP ныне - это почти худшее, что написано на PHP за всё время его существования.
Хуже наверное только друпал с жумлой.
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 13-Дек-20 14:16 
И что думаете если Wordpress перейдет на Rust, что-то изменится в плане уязвимостей?
Ответ: Нет.
А если результат одинаковый, а времени на разработку уйдет в 10 раз больше, зачем использовать Rust?
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено неРастНеСиНеСекта , 13-Дек-20 14:46 
Новость про PHP и WP, про уязвимости в WP. Зачем ты сюда принес раст? Чтобы говно развести?

Или у сишников так горит от раста, что они каждый день живут с мыслю о том, какое он говно, и считают своим долгом заставить всех других так думать?

"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 13-Дек-20 14:52 
Дак тут по моему 1,5 поехавших в любой новости вспоминают раст. Я вообще не уверен что они хотя бы на баше скриптик напишут, просто с голой проблемы, не обращайте внимания
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 13-Дек-20 15:05 
Уверен что твой Вордпресс полон дыр.
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 13-Дек-20 23:03 
Он не мой, а общий
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 13-Дек-20 15:02 
Не все же одному Фракталу тут растофикалии развозить.
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено n00by , 13-Дек-20 15:07 
> И что думаете если Wordpress перейдет на Rust, что-то изменится в плане
> уязвимостей?

Сложность языка повышает порог вхождения. Вывод сделаете, или помочь?

"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 13-Дек-20 15:12 
Надо срочно перейти на плюсы, а то руст одних жс-обезьян приманивает. Вот тогда заживём!
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено n00by , 13-Дек-20 15:52 
Является ли знак , (запятая) оператором в C?

Да - 29,56%
Нет - 54,01%
Узнать результаты - 16.42%

Проголосовали 274 человека


"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 13-Дек-20 16:09 
Лол, ну то такое, может опрос и не среди программистов вовсе. Чисто логически можно спросить себя "а что это в таком случае, для си?", правда, тут тоже потребуется знание синтаксиса как минимум.
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 13-Дек-20 16:21 
> а что это в таком случае

Можно пойти путём исключения... Идентификатор? Нет. Ключевое слово? Нет. Пробельный символ? Тоже нет... Но программисты ныне не способны логически думать.

"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноньимъ , 14-Дек-20 02:47 
Есть ли в Си синтаксис?
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 14-Дек-20 07:53 
Хороший вопрос. Учитывая отборнейший бред, заложенный в язык, синтаксис в нём почти отсутствует.
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено n00by , 14-Дек-20 09:30 
> Хороший вопрос. Учитывая отборнейший бред, заложенный в язык, синтаксис в нём почти
> отсутствует.

Annex A
(informative)
Language syntax summary

"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 13-Дек-20 19:36 
так зависит от контекста.
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено n00by , 14-Дек-20 09:27 
Если попробовать подумать, как работает абстрактная машина и/или транслятор, окажется, что comma operator и в identifier-list ведётся себя точно так же. Неопределённый порядок вычислений там появился ради оптимизации.
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено anonimous , 14-Дек-20 05:30 
Да.
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 14-Дек-20 18:35 
У раста нет сложности. Вывод сделаешь сам или помочь?
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено n00by , 15-Дек-20 09:38 
> У раста нет сложности. Вывод сделаешь сам или помочь?

Сделал: Вы придумали, будто бы я заявил "у Раста есть сложность", после чего принялись отрицать свой вымысел.

"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Разработчик , 13-Дек-20 16:05 
> И что думаете если Wordpress перейдет на Rust, что-то изменится в плане уязвимостей?

Конечно изменится - нет вордпресса, нет уязвимостей!

Главное переходить сразу rm -rf *, а не как эта ваша мурзила - перепишем-перепишем-перепишем, ой, пук! Сколько там - процентов 5 успели за десять лет, прежде чем их всех выкинули за борт?

> А если результат одинаковый, а времени на разработку уйдет в 10 раз больше, зачем использовать
> Rust?

ты совсем чтоль дурак? Именно затем. Тебе зарплата за эти десять лет, что, не понадобится?
Причем пинком под зад уволить тебя и нанять десять таких же, как с пехепе, нихрена не получится - они следующие десять лет будут либо пытаться понять, что ж ты там такого понакодил, либо "рефакторить" - то есть переписывать с нуля, потому что проще угадать, что делала эта фича, чем понять - как, и что в ней теперь нужно поправить.

"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 13-Дек-20 15:23 
> Обновление WordPress 5.6

Обновление Уязвимостей 5.6

"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено КО , 13-Дек-20 18:18 
"предназначенном для организации отправки писем через SMTP-сервер"
С какого-то xера ведет логи
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 14-Дек-20 10:52 
Вы не ведёте логи вообще ни для чего?
Другое дело, что прежде, чем вести логи, надо думать головой насчёт того, что логгировать, и куда размещать.
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 13-Дек-20 18:32 
обновление 5.6 имеет проблемы совместимости с плагином Classic Editor (или наоборот, как угодно). В зависимости от вашей удачи, могут пропасть отдельные элементы, например, подсветка выделения в ctrl+k, или полная неработоспособность редактора TinyMCE. обновляйтесь аккуратнее, господа.
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 13-Дек-20 19:21 
красава
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Ilya Indigo , 13-Дек-20 21:18 
Просто охренеть... даже культурные слова не находятся...
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноньимъ , 14-Дек-20 01:05 
Вордпресс вроде целиком из дыр состоит бай десинг.

Новость как в виндовс нашли телеметрию короче.

"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено qweqwe , 14-Дек-20 09:57 
Админю пару сайтов на WP, и стоят эти плагины.
Фишка в том что используется только nginx + php-fpm)
Там файлы не выводятся.
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено грмхм , 14-Дек-20 16:47 
что, и картинки или документы тоже не выводятся? Молодец, все правильно сделал.

"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 14-Дек-20 10:49 
> плагин сохранял в публично доступном каталоге "/wp-content/plugins/easy-wp-smtp/" файл с отладочным логом, в котором отображалось содержимое всех отправленных писем

Откуда растут руки у этих пейсателей? Зато мега-фреймворки, тонны классов, юнит-тесты, все дела. Вот только всё это бесполезно, когда руки растут оттуда.

"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 14-Дек-20 19:18 
Типичные будущие растаманы.
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 14-Дек-20 19:18 
Куча красивых слов и пароли в публичном текстовичке.
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 14-Дек-20 18:33 
А чего тут растоманов нет? В php тоже нет работы с памятью, а дыр больше чем в любом сишном проекте.
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено Аноним , 14-Дек-20 19:16 
Тссс! Не пали источник проблем!
"Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."
Отправлено mickvav , 15-Дек-20 16:48 
А отключить вывод отладочной информации в установке по умолчанию авторы считают выше своего достоинства?