워드프레스, 원격으로 어드민 패스워드를 수정하는 취약점
2009/08/14 12:33
전세계적으로 블로그툴로써 워드프레스가 많이 쓰입니다. 각 나라별로 번역도 활발히 이루어지고 다양한 플러그인과 테마들이 있죠. 국내에서야 텍스트큐브가 가장 많이 쓰이지만, 솔직히 워드프레스가 조금 더 나은 것 같습니다. 전 DB 변환이 귀찮아서 워드프레스도, GR 블로그도 쓰다가 그만뒀지요. 원래부터 태터툴즈를 써왔거든요.
그런데 전세계적으로 많이 쓰이는 워드프레스에 보안취약점이 생겼습니다. 원격으로 어드민 패스워드를 수정할 수 있는 취약점입니다. 이미 실행코드도 공개되었습니다. 이 취약점은 2.8.3 이하의 버전에서 적용됩니다.
아래는 이 취약점을 이용하여 구글에서 검색한 임의의 블로그를 공격한 모습입니다.
공개된 실행코드를 적용한 이런 페이지가 나와서 패스워드를 수정할 수 있게 됩니다.
이 취약점은 얼마 전 공개된 2.8.4 버전에서 패치되었습니다. 아마 이 취약점을 패치하는 게 2.8.4 버전의 주 목적이 아니었나 싶네요. 그런데 둘러보니 의외로 업그레이드를 안 한 블로그가 정말 많더군요. 혹시 주위에 워드프레스를 쓰는 분이 있다면 꼭 이 사실을 알려주시기 바랍니다.
자신의 소중한 블로그를 스스로 지켜야 하지요.
"0x04 Web RCE" 분류의 다른 글
| Textcube v1.8.5 XSS Vulnerability on RSS Reader | 2011/04/16 |
| Directory Traversal in Apache2 | 2011/02/19 |
| Adobe 0-day 취약점을 이용한 Mass Injections (via Websense) | 2010/06/16 |
| HDCON 2009 예선 Stage 1 - 플래시(SWF) 리버싱 | 2010/06/11 |
| 세미콜론을 이용한 IIS 0-day 는 관리자의 실수? | 2009/12/30 |
Trackback Address:http://hisjournal.net/blog/trackback/258
취약점 알려주셔서 감사합니다! 워드프레스가 중요한것이 아니라 자신의 정보를 보호하는것이 중요하다는 이야기가 매우 공감이 가네요.
어드민 패스워드를 수정할 수 있는것이 아니라, 리셋하는 메세지를 발생시키는 것으로 알고 있습니다.
[FullDisclose]에 공개된 내용중, 일부를 발췌하면 이렇게 되어있습니다.
첫번째 이메일에서는
"V. BUSINESS IMPACT
-------------------------
An attacker could exploit this vulnerability to compromise the admin account of any wordpress/wordpress-mu <= 2.8.3"
이렇게 발표했다가, 바로 아래와 같이 수정하여 발표하였습니다.
"V. BUSINESS IMPACT
-------------------------
An attacker could exploit this vulnerability to reset the admin account of any wordpress/wordpress-mu <= 2.8.3"
즉, compromise 가 reset 으로 수정되어 발표한 것입니다.
실행코드를 실행해봐도, 어드민 패스워드를 바로 획득하지는 못하였으며, 다만 어드민 패스워드를 리셋하는 이메일이 발송되었습니다.
결론적으로, 어드민 패스워드를 수정/획득할 수 있는것은 이닙니다 (원래의 genuine 어드민에게 패스워드 수정하라는 이메일이 발송됨).
님의 블로그 엔트리의 글에서는 마치 어드민 패스워드를 수정/획득 할 수 있는 것으로 기술하신것 같아서 댓글 남깁니다.