Alerte de sécurité WordPress – 14-04-2015

Au fil des années WordPress est devenu un outil très populaire pour de nombreux développeurs et nombre de sociétés. Beaucoup de grands noms parmi les magazines et les sites de technologie (Techcrunch, Mashable, TED Blog,…), sans oublier de très grandes noms (CNN, Reuters, eBay,…) utilisent WordPress.

La communauté des développeurs WordPress a permis d’en faire un outil extrêmement puissant, et l’ajout de fonctionnalités spécifiques, grâce à des extensions en a fait un des outils les plus utilisés à l’heure actuelle.

Cependant la dépendance de WordPress aux plugin externes le transforme en un colosse au pieds d’argile. Plusieurs plugin populaires, et largement utilisés (WordPress SEO by Yoast, WP SuperCache,…), ont récemment été porteurs de failles de sécurité de base, telles que Injection SQL et Cross-Site Scripting.

Les propriétaires de sites, dont l’activité et les revenus sont uniquement basés sur leur site Web, craignent qu’une de ces failles leur soit fatale, alors qu’elle est la solution?

Infos WordPress en Vrac

• WordPress a publié la version 1.2.1 du plugin WP REST API, une version de sécurité critique qui corrige une vulnérabilité de divulgation d’informations grave affectant toutes les versions précédentes du plugin. La vulnérabilité permettait à l’API de récupérer des contenus inédits et après révisions.

•  WordPress 4.2 est annoncé pour la troisième semaine d’Avril, la version Beta 4 étant à l’heure actuelle en cours de tests.

• Le FBI a lancé une alerte concernant les dangers courus par les sites WordPress, des terroristes abusant des vulnérabilités de WordPress, le FBI vous conseille de mettre à jour vos installations dans les plus brefs délais.

• Le WordCamp Lyon 2015 aura lieu le 05 Juin 2015, il reste des billets disponibles

Alerte de sécurité WordPress – 14-04-2015

Plugin et Thèmes WordPress présentant des failles

• WordPress MP3-Jplayer : Traversée de répertoire

[alert-note]Un attaquant peut traverser les répertoires afin de lire un fichier situé hors de la racine du service[/alert-note]

• WordPress N-Media Website Contact Form with File Upload :Upload de fichier

[alert-note]Un attaquant peut uploader un fichier illicite afin, par exemple, de déposer un Cheval de Troie[/alert-note]

• WordPress Floating Social Bar version < 1.1.6 : Cross Site Scripting

[alert-note]Le Cross Site Scripting est un type de faille des sites web permettant d’injecter du contenu dans une page, et ainsi provoquer des actions sur les navigateurs web visitant la page[/alert-note]

• WordPress Fusion Engage : Traversée de répertoire

• WordPress TheCartPress : quatre vulnérabilités

• Duplicator version <= 0.5.14 – Injection SQL & Cross Site Request Forgery

[alert-note]Une injection SQL est une faille qui permet à un attaquant d’injecter une requête SQL non prévue par le système et pouvant compromettre sa sécurité[/alert-note] [alert-note]Les attaques de type Cross Site Request Forgery utilisent l’utilisateur comme déclencheur, l’attaque étant actionnée par l’utilisateur, un grand nombre de systèmes d’authentification sont contournés[/alert-note]

• WP REST API (WP API) version <= 1.2 – Obtention d’informations

[alert-note]Un attaquant peut contourner les restrictions d’accès aux données, afin de créer ou télécharger une sauvegarde[/alert-note]

• WordPress Windows Desktop And iPhone Photo Uploader version <= 1.8 – Upload de fichier

• WordPress SP Project & Document Manager version <= 2.5.3 – Injection Blind SQL

[alert-note]Une injection Blind SQL est une technique avancée d’injection de données (Injection SQL) dans une base vulnérable. Cette faille se caractérisent parle fait que les résultats de l’injection ne sont pas visibles pour l’attaquant[/alert-note]

• WP Mobile Edition version 2.7 – Obtention d’informations

• Traffic Analyzer Plugin version 3.4.2 – Injection Blind SQL

• WordPress Work The Flow File Upload version 2.5.2 – Téléchargement arbitraire de fichiers

[alert-note]Faiblesses dans la gestion des autorisations, privilèges, et autres fonctions de sécurité utilisés pour le contrôle d’accès aux fichiers permettant à un attaquant de téléverser un fichier à risque sur le serveur[/alert-note]

• WordPress WP Symposium 14.11 – Shell Upload

[alert-note]Un module va générer un plugin malicieux et le transférer à un serveur exécutant WordPress pour récupérer des informations d’identification d’administration valides.[/alert-note]

Aucune faille n’est bénigne, et malgré le suivi que vous apportez à vos sites WordPress, votre site est à risque si vous ne prenez pas les mesures appropriées. Vous ne laisseriez pas la porte de votre domicile ouverte en partant, alors faites de même avec votre site WordPress, sécurisez le.

Ne pensez pas que cela n’arrive qu’aux autres, tous les sites WordPress sont concernés par les problèmes de sécurité!

Conseils pour sécuriser votre site

• Ne pas utiliser “admin” comme identifiant administrateur
• Faites attention à ce que vous téléchargez
• Mettez à jour WordPress
• Mettez à jour vos thèmes et plugin
• Utilisez un mot de passe fort
• Limitez le nombre de tentatives de connexion avec Limit Login Attempts
• Faites des sauvegardes régulières de la totalité de votre site avec BackupBuddy
• Utilisez au moins un plugin de sécurisation tel que iThemes Security

Rappel important!

Une sauvegarde régulière de la totalité de votre site WordPress (base de données, thèmes, et plugin) est nécessaire afin de palier à tout problème.

---

 La sécurité est l’affaire de tous, dans l’intérêt de tout le monde, Partagez cet article, Merci!

Publié à l'origine le : 14 avril 2015 @ 10 h 44 min