Уязвиость DDos атаки во всех версиях Wordpress

[ProtectYourSite]

Уже вторую неделю активно обсуждается в сети найденная уязвимость в популярной CMS Wordpress. Для тех кто не в курсе, все версии вордпресса подвержены эксплоиту под кодовым номером CVE-2018-6389. При помощи незамысловатых запросов можно значительно повысить нагрузку на любой сайт, а соответственно при превышении нагрузки запросто уложить сайт ддос-атакой. Виновниками этой проблемы являются скрипты минификации load-*.php (load-styles.php и load-scripts.php



В стандартном наборе есть 181 файл для запуска атаки на сервер. При многократном запуске даже с одного компьютера можно спокойно грохнуть сайт на шаред-хостинге.
Прискорбно, но уже вышли две новых версии с момента публикации уязвимости. Однако ни одна из этих версий не исправляет данной бреши. Причина проста, Wordpress официально заявила, что так и должно быть и не считает это багом. Поэтому в сети стали плодиться форки, дабы залатать данную дыру.

Что же делать простым смертным? Существует несколько методов защитить свои блоги от DDos. Однако самым эффективным я считаю закрыть админку по айпи или через basic авторизацию. Статья с подробным описанием методики защиты админки Wordpress от посторонних глаз.
Среди других методов, можно закрыть прямой доступ к опасным файлам в htaccess:

Код Выделить Развернуть


RewriteEngine on
RewriteCond %{HTTP_COOKIE} !wordpress_logged_in_
RewriteRule /wp-admin/load-scripts.php - [F, L]
RewriteCond %{HTTP_COOKIE} !wordpress_logged_in_
RewriteRule /wp-admin/ load-styles.php - [F, L]


Проблема в том, что злоумышленникам не составит труда подставить в куки необходимое значение для обхода.

Так же можно добавить строку в конфигурационный файл вордпресса wp-config.php:

Код Выделить Развернуть


define( 'CONCATENATE_SCRIPTS', false );


которая отключает данный функционал.
Другие методы, включающие патчинг файлов и их модификацию, не советую, поэтому не рассматриваю.

[zanuda]

ля тех кто не в курсе, все версии вордпресса подвержены эксплоиту под кодовым номером CVE-2018-6389

Пару дней назад вордпресс проупдейтился. Это они не этот баг фиксили? Текущая версия 4.9.4, про нее тоже пишут, что она подвержена риску?

[ProtectYourSite]

Пару дней назад вордпресс проупдейтился. Это они не этот баг фиксили? Текущая версия 4.9.4, про нее тоже пишут, что она подвержена риску?

Да, вордпресс не собираются исправлять данную уязвимость.

[Надежда Хачатурова]

Это они не этот баг фиксили?

В 4.9.3 забыли про автообновление )). Единственное, что устранено в 4.9.4, судя по релизу.

[AlexandrS]

Уже пофиксили данный баг ?

Или надо какой-то плагин?

[bumer]

То есть получается любой юзер может включить дедос атаку на твой ВП блог ? верно что ли?

[ProtectYourSite]

Да, любой пользователь может воспроизвести атаку

Уже пофиксили данный баг ?

Или надо какой-то плагин?

Нет, вордпресс не считает это багом и не будет фиксить, необходимо самому предпринять меры, описанные в начале темы.