WordPress 취약점 정리: 2020년 12월, 2부
게시 됨: 2020-12-2312월 하반기에 새로운 WordPress 플러그인 및 테마 취약점이 공개되었습니다. 이 게시물은 최근 WordPress 플러그인, 테마 및 핵심 취약점과 웹사이트에서 취약한 플러그인 또는 테마 중 하나를 실행하는 경우 수행할 작업을 다룹니다.
WordPress Vulnerability Roundup은 WordPress 코어, WordPress 플러그인 및 WordPress 테마의 세 가지 범주로 나뉩니다.
WordPress 핵심 취약점
최신 버전의 WordPress 코어는 현재 5.6입니다. WordPress 보안 모범 사례로 최신 버전의 WordPress 코어를 실행하고 있는지 확인하십시오.
WordPress 플러그인 취약점
1. 다이브북
1.1.4 미만의 DiveBook 버전에는 부적절한 인증 확인, 인증되지 않은 SQL 주입 및 인증되지 않은 반사 XSS 취약점이 있습니다.
2. 페이지 레이어
1.3.5 미만의 페이지 레이어 버전에는 다중 반사 교차 사이트 스크립팅 취약점이 있습니다.
3. 궁극적인 카테고리 제외
1.2 미만의 Ultimate Category Excluder 버전에는 Cross-Site Request Forgery 취약점이 있습니다.
4. 디렉토리 프로
1.3.46 미만의 Directories Pro 버전에는 Authenticated Reflected Cross-Site Scripting 취약점이 있습니다.
5. 전체 유지
1.14.10 미만의 Total Upkeep 버전에는 민감한 데이터 공개 및 인증되지 않은 백업 다운로드 취약점이 있습니다.
6. 리덕스 프레임워크
4.1.21 미만의 Redux Framework 버전에는 CSRF Nonce Validation Bypass 취약점이 있습니다.
7. 문의 양식 7
Contact Form 7 버전 5.3.2 미만에는 무제한 파일 업로드 취약점이 있습니다.
8. 간단한 소셜 미디어 공유 버튼
Simple Social Media Share Buttons 버전 3.2.1 미만에는 인증되지 않은 반사 교차 사이트 스크립팅 취약점이 있습니다.
9. Envira 갤러리 라이트
Envira Gallery Lite 버전 1.8.3.3 미만에는 인증된 저장 교차 사이트 스크립팅 취약점이 있습니다.
10. 다시 로드된 로그인 시도 제한
로그인 시도 제한 다시 로드된 버전 2.16.0 미만에는 인증된 반영된 교차 사이트 스크립팅 및 로그인 속도 제한 우회 취약점이 있습니다.
WordPress 테마 취약점
1. 리스팅프로
ListingPro 버전 2.6.1 미만에는 인증되지 않은 임의 플러그인 설치/활성화/비활성화 및 인증되지 않은 민감한 데이터 공개 취약점이 있습니다.
12월 보안 팁: 지원을 위해 범용 사용자가 필요한 이유
웹 사이트에 새 사용자를 만들 때마다 해커가 악용할 수 있는 또 다른 진입점을 추가하게 됩니다. 그러나 지원을 요청하거나 독립 계약자를 고용한 후와 같이 웹 사이트에 대한 외부의 도움이 필요할 수 있습니다. 웹사이트에 임시 관리자 액세스 권한을 추가하려면 안전하고 안전한 방법이 필요합니다.
웹사이트에 대한 외부 액세스 허용: 일반적인 잘못된 옵션
일반적으로 웹사이트에 대한 외부 액세스를 제공하는 두 가지 옵션이 있습니다 . 둘 다 좋지 않습니다 .
1. 관리 사용자의 자격 증명 공유
첫 번째이자 최악의 옵션은 WordPress 관리자의 사용자 이름과 비밀번호를 공유하는 것입니다.
관리자 자격 증명을 공유하는 것이 끔찍한 생각인 이유
- 보안 감소 – 사용자의 자격 증명을 공유하는 경우 자격 증명을 사용하는 사람이 로그인할 수 있도록 2단계 인증을 비활성화해야 합니다. Google은 블로그에서 2단계 인증 또는 2단계 인증을 사용하면 자동화된 봇 공격을 100% 차단할 수 있다고 공유했습니다. 단기간이라도 이중 인증을 비활성화하면 웹사이트의 보안이 크게 저하됩니다.
- 불편함 – 자격 증명을 공유하려면 암호를 변경해야 합니다. 비밀번호 변경을 잊어버린 경우 원할 때마다 웹사이트에 대한 관리자 액세스 권한이 있는 사람이 한 명 이상 있습니다.
2. 지원 기술을 위한 별도의 사용자 생성
지원 전문가를 위한 새로운 관리자를 만드는 것이 관리자 자격 증명을 공유하는 것보다 낫지만 여전히 좋지는 않습니다.
지원 기술 사용자를 만드는 것이 끔찍한 이유
- 취약성 증가 – 새 관리자 사용자를 생성하면 악용될 수 있는 또 다른 진입점이 추가됩니다. 비밀번호 정책이 없으면 지원 기술자가 약한 비밀번호를 선택하여 WordPress 로그인을 공격에 더 취약하게 만들 수 있습니다.
- 불편함 – 외부의 도움이 필요할 때마다 새로운 사용자를 설정하는 과정을 거치는 것은 시간이 많이 걸립니다. 새 사용자를 만든 다음 웹사이트에 더 이상 액세스할 필요가 없으면 사용자를 삭제해야 합니다. 웹사이트에서 사용하지 않는 사용자를 제거하는 것이 WordPress 보안 모범 사례입니다.
웹사이트에 대한 외부 액세스 권한 부여: 더 나은 방법
iThemes Security Pro 권한 상승 기능을 사용하면 사용자에게 임시로 추가 기능을 부여할 수 있습니다.
권한 에스컬레이션을 사용하면 웹 사이트에 임시로 액세스해야 하는 외부 개발자 또는 지원 기술 담당자에게 제공할 수 있는 범용 사용자를 쉽고 안전하게 만들 수 있습니다.
권한 상승을 사용하여 새 사용자를 만들고 이름을 지원으로 지정하고 구독자 사용자 역할을 부여할 수 있습니다. 다음에 웹 사이트에 대한 임시 액세스를 제공해야 하는 경우 지원 사용자를 구독자에서 관리자로 변경할 수 있습니다. 이 작업을 수행하는 방법은 나중에 게시물에서 살펴보겠지만 먼저 권한 상승이 웹사이트에 대한 액세스 권한을 부여하는 더 좋은 방법인 이유에 대해 알아보겠습니다.
권한 에스컬레이션이 더 나은 이유
- 간편함 – 웹 사이트에 대한 액세스 권한을 부여해야 할 때마다 새 사용자를 만들 필요가 없습니다.
- 자동 – 권한 상승은 24시간 동안만 지속됩니다. 24시간이 지나면 사용자는 자동으로 모든 추가 권한을 잃게 됩니다. 사용자를 제거하거나 암호를 변경하는 것을 기억할 필요가 없습니다.
- 보안의 희생 없음 – 이 범용 지원 사용자가 로그인할 때 이중 요소의 이메일 방법을 사용하도록 요구할 수 있습니다. 즉, 다른 관리 사용자와 동일한 수준의 보안을 갖게 됩니다. 실제 사용자 역할은 구독자이기 때문에 웹사이트에 남겨두는 실제 위험을 감수하지 않아도 됩니다.
iThemes Security Pro에서 권한 상승을 사용하는 방법
시작하려면 보안 설정의 기본 페이지에서 권한 상승 을 활성화하십시오.
새 사용자를 만들고 이름을 Support로 지정하고 구독자 사용자 역할을 부여할 수 있습니다. 다음에 웹사이트에 대한 임시 액세스를 제공해야 하는 경우 지원 사용자의 프로필 페이지로 이동합니다.
외부 지원 담당자가 새 비밀번호를 요청할 수 있도록 이메일 주소를 업데이트하십시오. 그런 다음 임시 권한 상승 설정이 표시될 때까지 아래로 스크롤합니다. 임시 역할 설정 토글을 클릭하고 관리자를 선택합니다. 이제 사용자는 앞으로 24시간 동안 관리자 액세스 권한을 갖게 됩니다.
24시간 전체가 필요하지 않은 경우 사용자 프로필 페이지에서 권한 상승을 취소할 수 있습니다. 24시간 이상이 필요한 경우 일 필드에서 필요한 정확한 일 수를 설정할 수 있습니다.
작동 방식 보기
WordPress 보안 플러그인으로 웹사이트 보호
WordPress 보안 플러그인인 iThemes Security Pro는 일반적인 WordPress 보안 취약성으로부터 웹사이트를 보호하고 보호하는 50가지 이상의 방법을 제공합니다. WordPress, 이중 인증, 무차별 대입 방지, 강력한 암호 적용 등을 사용하여 웹 사이트에 보안 계층을 추가할 수 있습니다.
iThemes 보안 프로 받기
Michael은 매주 WordPress 취약점 보고서를 작성하여 사이트를 안전하게 보호합니다. iThemes의 제품 관리자로서 그는 iThemes 제품 라인업을 지속적으로 개선하는 데 도움을 줍니다. 그는 거대한 괴짜이며 기술, 오래된 및 새로운 모든 것에 대해 배우는 것을 좋아합니다. 마이클이 아내와 딸과 어울리고, 일하지 않을 때는 책을 읽거나 음악을 듣는 것을 볼 수 있습니다.
