WordPress 6.4.2, 고위험 원격 코드 실행 취약점을 해결하기 위한 업데이트 출시

WordPress는 위협 행위자가 다른 취약점과 결합하여 취약한 웹사이트에서 임의의 PHP 코드를 실행할 수 있는 심각한 보안 취약점에 대한 패치가 포함된 버전 6.4.2를 출시했습니다.

워드프레스 공식 홈페이지에는 “이것은 코어에 직접적으로 악용될 수 없는 버그이다.원격 코드 실행 취약점; 그러나 보안팀은 특히 다중 사이트 설치에서 특정 플러그인과 결합하면 심각한 보안 취약점이 발생할 수 있다고 믿고 있습니다. "

WordPress 보안 회사인 Wordfence에 따르면 이 문제의 원인은 다음과 같습니다.워드프레스버전 6.4에 도입된 WP_HTML_Token 클래스는 블록 편집기에서 HTML 구문 분석을 개선하도록 설계되었습니다.

위협 행위자는 다른 플러그인이나 테마에 존재하는 PHP 개체 주입 취약점을 악용하여 두 가지 문제를 연결하여 임의 코드를 실행하고 대상 사이트에 대한 제어권을 탈취할 수 있습니다.

앞서 워드펜스는 2023년 9월 “대상 시스템에 추가 플러그인이나 테마를 설치해 POP(Property-Oriented 프로그래밍)이 있는 경우”라고 밝힌 바 있다.¹] 체인을 사용하면 공격자가 임의 파일을 삭제하거나 민감한 데이터를 검색하거나 코드를 실행할 수 있습니다. ".

패치스택(Patchstack)의 유사한 발표에서 회사는 이 익스플로잇 체인이 11월 17일부터 GitHub에서 사용 가능하다고 밝혔습니다.², PHP Generic Gadget Chains(PHPGGC) 프로젝트에 추가되었습니다. 사용자는 웹사이트가 최신 버전으로 업데이트되었는지 수동으로 확인하는 것이 좋습니다.

"개발자이고 프로젝트에 deserialization 함수에 대한 함수 호출이 포함되어 있는 경우 json_encode 및 json_decode PHP 함수를 사용한 JSON 인코딩/디코딩과 같은 다른 것으로 교체하는 것이 좋습니다." Patchstack 최고 기술 책임자 Dave 종은 말했다.

참고문헌 인용:

1. https://dl.acm.org/doi/10.1145/2660267.2660363 ↩︎
2. https://github.com/ambionics/phpggc/tree/master/gadgetchains/WordPress/RCE ↩︎