WordPress 취약점 정리: 2020년 1월, 1부

6. 시티북

CityBook 버전 2.9.4 이하에는 Unauthenticated Reflected XSS, Authenticated Persistent XSS 및 Insecure Direct Object Reference를 포함한 여러 취약점이 있습니다.

해야 할 일

WordPress 테마 및 플러그인 취약점에 대해 사전에 대처하는 방법

오래된 소프트웨어를 실행하는 것이 WordPress 사이트가 해킹되는 가장 큰 이유입니다. 업데이트 루틴이 있는 것은 WordPress 사이트의 보안에 매우 중요합니다. 업데이트를 수행하려면 일주일에 한 번 이상 사이트에 로그인해야 합니다.

자동 업데이트가 도움이 될 수 있습니다

자동 업데이트는 자주 변경되지 않는 WordPress 웹사이트에 적합한 선택입니다. 주의 부족은 종종 이러한 사이트를 방치하고 공격에 취약하게 만듭니다. 권장되는 보안 설정을 사용하더라도 사이트에서 취약한 소프트웨어를 실행하면 공격자가 사이트에 진입할 수 있습니다.

iThemes Security Pro 플러그인의 버전 관리 기능 을 사용하면 자동 WordPress 업데이트를 활성화하여 최신 보안 패치를 받을 수 있습니다. 이러한 설정은 자동으로 새 버전으로 업데이트하거나 사이트 소프트웨어가 오래된 경우 사용자 보안을 강화하는 옵션으로 사이트를 보호하는 데 도움이 됩니다.

버전 관리 업데이트 옵션

• WordPress 업데이트 – 최신 WordPress 릴리스를 자동으로 설치합니다.
• 플러그인 자동 업데이트 – 최신 플러그인 업데이트를 자동으로 설치합니다. 이 사이트를 매일 적극적으로 유지 관리하고 업데이트가 릴리스된 직후 업데이트를 수동으로 설치하지 않는 한 이 기능을 활성화해야 합니다.
• 테마 자동 업데이트 – 최신 테마 업데이트를 자동으로 설치합니다. 테마에 파일 사용자 정의가 없는 경우 활성화해야 합니다.
• 플러그인 및 테마 업데이트에 대한 세분화된 제어 – 수동으로 업데이트하거나 릴리스가 안정적인 것으로 입증될 때까지 업데이트를 지연하려는 플러그인/테마가 있을 수 있습니다. 사용자 지정 을 선택하여 각 플러그인 또는 테마를 즉시 업데이트( 활성화 )하거나 자동으로 전혀 업데이트하지 않거나( 비활성화 ) 지정된 일 수만큼 지연된 업데이트( 지연 )를 할당할 수 있습니다.

중요한 문제에 대한 강화 및 경고

• 오래된 소프트웨어 실행 시 사이트 강화 – 사용 가능한 업데이트가 한 달 동안 설치되지 않은 경우 사이트에 추가 보호 기능을 자동으로 추가합니다. iThemes 보안 플러그인은 한 달 동안 업데이트가 설치되지 않은 경우 더 엄격한 보안을 자동으로 활성화합니다. 첫째, 이중 요소가 활성화되지 않은 모든 사용자가 다시 로그인하기 전에 이메일 주소로 로그인 코드를 보내도록 강제합니다. 둘째, WP 파일 편집기를 비활성화합니다(플러그인 또는 테마 코드를 편집하지 못하도록 차단). , XML-RPC 핑백 및 XML-RPC 요청당 여러 인증 시도 차단(둘 모두 완전히 끄지 않고도 공격에 대해 XML-RPC를 더 강력하게 만듭니다).
• 다른 오래된 WordPress 사이트 검색 – 호스팅 계정에 다른 오래된 WordPress 설치가 있는지 확인합니다. 취약점이 있는 오래된 WordPress 사이트 하나는 공격자가 동일한 호스팅 계정의 다른 모든 사이트를 손상시킬 수 있습니다.
• 이메일 알림 보내기 – 개입이 필요한 문제의 경우 관리자 수준 사용자에게 이메일이 전송됩니다.

여러 WP 사이트 관리? iThemes 동기화 대시보드에서 한 번에 플러그인, 테마 및 핵심 업데이트

iThemes Sync는 여러 WordPress 사이트를 관리하는 데 도움이 되는 중앙 대시보드입니다. 동기화 대시보드에서 모든 사이트에 대해 사용 가능한 업데이트를 확인한 다음 클릭 한 번으로 플러그인, 테마 및 WordPress 코어 를 업데이트 할 수 있습니다. 새 버전 업데이트가 있을 때 매일 이메일 알림을 받을 수도 있습니다.

30일 동안 무료 동기화를 사용해 보세요자세히 알아보기

웹에서 침해

WordPress 생태계 외부의 취약점도 인식하는 것이 필수적이기 때문에 웹 전체에서 발생한 침해를 포함합니다. 서버 소프트웨어에 대한 악용은 민감한 데이터를 노출할 수 있습니다. 데이터베이스 침해는 사이트의 사용자에 대한 자격 증명을 노출하여 공격자가 사이트에 액세스할 수 있는 기회를 제공할 수 있습니다.

1. NSA, Windows 10의 취약점 발견

NSA는 위험한 Microsoft 소프트웨어 결함을 발견했으므로 최신 Windows 보안 패치가 있는지 확인하십시오. 취약점은 인증서 및 암호화 메시징 기능을 처리하는 Windows crypt32.dll과 관련이 있습니다. 악용될 경우 해커는 취약점을 사용하여 디지털 서명을 위조할 수 있습니다.

2020년 1월의 WordPress 취약점 요약, 1부

유형

취약성

고치다

핵심

2020년 1월 상반기에는 WordPress Core 취약점이 공개되지 않았습니다.

플러그인

Donorbox 버전 7.1 및 7.1.1은 Stored Cross-Site Request Forgery 공격에 취약합니다.

취약점이 패치되었으며 버전 7.1.2로 업데이트해야 합니다.

Quiz and Survey Master 버전 6.3.4 이하 버전은 Authenticated Reflected XSS 공격에 취약합니다.

취약점이 패치되었으며 버전 6.3.5로 업데이트해야 합니다.

301 Redirects 버전 2.4.0 이하에는 인증된 임의 리디렉션 삽입 및 수정, XSS 및 CSRF를 비롯한 여러 취약점이 있습니다.

취약점이 패치되었으며 버전 2.45로 업데이트해야 합니다.

Rencontre 버전 3.2.2 이하에는 여러 Cross-Site Request Forgery 취약점이 포함되어 있습니다.

취약점이 패치되었으며 버전 3.2.3으로 업데이트해야 합니다.

URL 버전 2.7.7 이하의 주요 이미지에 REST 경로에 대한 액세스 제어가 누락되어 인증 손상 취약점이 발생합니다.

취약점이 패치되었으며 버전 2.7.8로 업데이트해야 합니다.

bbPress Members Only 버전 1.2.1 이하는 플러그인 Optional Settings 페이지에 대한 Cross-Site Request Forgery 공격에 취약합니다.

취약점이 패치되었으며 버전 1.3.1로 업데이트해야 합니다.

bbPress Login Register Links On Forum Topic Pages 버전 2.7.5 이하에는 Stored Cross-Site Scripting 공격으로 이어질 수 있는 Cross-Site Request Forgery 취약점이 포함되어 있습니다.

취약점이 패치되었으며 버전 2.8.5로 업데이트해야 합니다.

GDPR 쿠키 규정 준수 버전 4.0.2 이하에는 인증된 사용자가 플러그인 설정을 삭제할 수 있도록 하는 기능 검사 및 보안 nonce가 없습니다.

취약점이 패치되었으며 버전 4.0.3으로 업데이트해야 합니다.

포토 갤러리 버전 2.0.6 이하는 Arbitrary Plugin Deactivation 공격에 취약합니다.

취약점이 패치되었으며 버전 2.0.7로 업데이트해야 합니다.

최소 출시 예정 및 유지 관리 모드 버전 2.10 이하에는 여러 취약점이 있습니다.

취약점이 패치되었으며 버전 2.17로 업데이트해야 합니다.

WooCommerce Conversion Tracking 버전 2.04 이하는 Stored XSS 공격으로 이어지는 Cross-Site Forgery Request에 취약합니다.

취약점이 패치되었으며 버전 2.0.5로 업데이트해야 합니다.

Postie 버전 1.9.40 이하에는 인증되지 않은 사용자가 새 게시물을 게시할 수 있는 Post Spoofing 및 Stored XSS 취약점이 있습니다. 이것은 제로 데이 취약점이며 누구나 Postie 플러그인 악용에 대한 지침을 쉽게 찾을 수 있습니다.

WordPress.org는 2019년 1월 8일에 Postie를 폐쇄했으므로 플러그인을 제거하고 대체품을 찾는 것이 좋습니다.

메타 버전 1.15의 CSV에서 사용자 가져오기에는 무단 인증된 사용자 내보내기 취약점이 있습니다. 기능 검사가 누락되면 권한이 없는 사용자가 WordPress 사용자를 내보낼 수 있습니다.

취약점이 패치되었으며 버전 1.15.0.1로 업데이트해야 합니다.

Ultimate FAQ 버전 1.8.29 이하에는 인증되지 않은 반사 XSS 취약점이 있습니다. FAQ 단축 코드는 Display_FAQ GET 매개변수를 삭제하지 않으므로 단축 코드가 표시되는 페이지에서 반사된 교차 사이트 스크립팅 공격으로 이어질 수 있습니다.

취약점이 패치되었으며 버전 1.8.30으로 업데이트해야 합니다.

WP Simple Spreadsheet Fetcher For Google 버전 0.3.6 이하에는 공격자가 임의의 API 키를 설정할 수 있는 Cross-Site Forgery Request 취약점이 있습니다.

취약점이 패치되었으며 버전 0.3.7로 업데이트해야 합니다.

WP Time Capsule 버전 1.21.15 이하의 백업 및 스테이징에는 공격자가 관리자로 로그인할 수 있는 인증 우회 취약점이 있습니다.

취약점이 패치되었으며 버전 1.21.16으로 업데이트해야 합니다.

InfiniteWP 클라이언트 버전 1.9.4.4 이하에는 공격자가 관리자로 로그인할 수 있는 인증 우회 취약점이 있습니다.

취약점이 패치되었으며 버전 1.9.4.5로 업데이트해야 합니다.

Ultimate Auction 버전 4.0.5 이하에는 여러 Cross-Site Request Forgery 및 Cross-Site Scripting 취약점이 있습니다.

취약점이 패치되었으며 버전 4.0.6으로 업데이트해야 합니다.

WooCommerce – Store Exporter 버전 2.3.1 이하는 CSV 주입 공격에 취약합니다.

취약점이 패치되었으며 버전 2.4로 업데이트해야 합니다.

Awesome Support 버전 5.7.1 이하는 저장된 XSS 공격에 취약합니다.

취약점이 패치되었으며 버전 5.8.0으로 업데이트해야 합니다.

Admin Dashboard 버전 1.1.3 이하의 동영상은 Authenticated Stored XSS 공격에 취약합니다.

취약점이 패치되었으며 버전 1.1.4로 업데이트해야 합니다.

Computer Repair Shop 버전 1.0은 Authenticated Stored XSS 공격에 취약하다.

취약점이 패치되었으며 버전 2.0으로 업데이트해야 합니다.

LearnDash 버전 3.1.1 이하는 Reflected Cross-Site Scripting 공격에 취약합니다.

취약점이 패치되었으며 버전 3.1.2로 업데이트해야 합니다.

테마

ListingPro 2.5.3 이하 버전은 Unauthenticated Reflected XSS 공격에 취약합니다.

취약점이 패치되었으며 버전 2.5.4로 업데이트해야 합니다.

여행 예약 버전 2.7.8.5 이하에는 반영 및 지속 XSS 취약점이 있습니다.

취약점이 패치되었으며 버전 2.7.8.6으로 업데이트해야 합니다.

4.0.10 이하 버전의 ElegantThemes Divi, Divi Builder 및 Extra는 인증 코드 삽입 공격에 취약합니다.

취약점이 패치되었으며 버전 4.0.10으로 업데이트해야 합니다.

EasyBook 버전 1.2.1 이하에는 Unauthenticated Reflected XSS, Authenticated Persistent XSS 및 Insecure Direct Object Reference를 포함한 여러 취약점이 있습니다.

취약점이 패치되었으며 버전 1.2.2로 업데이트해야 합니다.

TownHub 버전 1.0.5 이하에는 인증되지 않은 반사 XSS, 인증된 영구 XSS 및 안전하지 않은 직접 개체 참조를 비롯한 여러 취약점이 있습니다.

취약점이 패치되었으며 버전 1.0.6으로 업데이트해야 합니다.

CityBook 버전 2.9.4 이하에는 Unauthenticated Reflected XSS, Authenticated Persistent XSS 및 Insecure Direct Object Reference를 포함한 여러 취약점이 있습니다.

취약점이 패치되었으며 버전 2.9.5로 업데이트해야 합니다.

Real Estate 7 버전 2.3.3 이하에는 인증되지 않은 반사 XSS, 인증된 영구 XSS 및 안전하지 않은 직접 개체 참조를 비롯한 여러 취약점이 있습니다.

취약점이 패치되었으며 버전 2.3.4로 업데이트해야 합니다.

WordPress 보안 플러그인으로 웹사이트 보호

WordPress 보안 플러그인인 iThemes Security Pro는 일반적인 WordPress 보안 취약성으로부터 웹사이트를 보호하고 보호하는 30가지 이상의 방법을 제공합니다. WordPress, 이중 인증, 무차별 대입 방지, 강력한 암호 적용 등을 사용하여 웹 사이트에 보안 계층을 추가할 수 있습니다.

10가지 핵심 팁으로 WordPress 보안에 대해 자세히 알아보세요. 지금 eBook 다운로드: WordPress 보안 가이드

지금 다운로드

iThemes 보안 받기

마이클 무어

Michael은 매주 WordPress 취약점 보고서를 작성하여 사이트를 안전하게 보호합니다. iThemes의 제품 관리자로서 그는 iThemes 제품 라인업을 지속적으로 개선하는 데 도움을 줍니다. 그는 거대한 괴짜이며 기술, 오래된 및 새로운 모든 것에 대해 배우는 것을 좋아합니다. 마이클이 아내와 딸과 어울리고, 일하지 않을 때는 책을 읽거나 음악을 듣는 것을 볼 수 있습니다.