التخفيف من CVE-2019-9787

إثبات الفكرة (POC)

1. XSS بسيطة: <script>alert('xss');</script>
2. CSRF بسيطة: كود موقع المهاجم — https://github.com/kuangting4231/wordpress.github.io
3. تنفيذ أكواد عن بُعد عبر CSRF: كود موقع المهاجم — https://github.com/kuangting4231/assigment1.github.io

التخفيف

1. إصلاح الثغرة المنطقية في عملية التعقيم الخاصة بالمشرفين.
   أضف السطرين في /wp-admin/includes/ajax-actions.php و /wp-includes/comment.php (تفاصيل في التقرير):

   root@kitploit:~

   remove_filter( 'pre_comment_content', 'wp_filter_post_kses' );
   add_filter( 'pre_comment_content', 'wp_filter_kses' );
   

2. HTTP-Only
   بالنسبة لملفات تعريف الجلسة التي يديرها PHP، يتم تعيين العلامة إما بشكل دائم في php.ini (دليل PHP على HttpOnly) عبر المعامل:

   root@kitploit:~

   session.cookie_httponly = True
   

3. دفاع قائم على التجزئة (hash-based)
   لم يتم تنفيذ رمز التحقق من CSRF في ووردبريس لأن ذلك سيعيق ميزات trackbacks و pingbacks. لا يمكن للخادم التمييز بين طلب CSRF غير قانوني وطلب PINGBACK/TRACEBACK قانوني، لذلك يقبل ووردبريس التعليق تلقائيًا دون رمز CSRF صحيح كطلب PINGBACK/TRACEBACK ويقوم بتصفية ذلك التعليق باستخدام مرشح القائمة البيضاء.

   للدفاع ضد هذه الثغرة CSRF، نضيف حقلًا جديدًا في النموذج يُسمى hashnonce للتحقق من أن التعليق مرسل من المشرف. يقوم المشرف بتوقيع قيمة حقل التعليق باستخدام ملف تعريف الارتباط الخاص به.

   تم استخدام md5 لتوليد قيمة التجزئة لتوقيع قيمة حقل التعليق (انظر الرسم البياني).

   عندما يحاول المشرف اعتماد PINGBACK/TRACEBACK ولا يمكن توفير _wp_unfiltered_html، نستخدم wp_verify_hashNonce. إذا فشل التحقق، سيتم الإبلاغ عن خطأ. حتى إذا نجح التحقق، فقد تم تصحيح الخطأ المنطقي وسيتم استخدام wp_filter_kses لتصفية التعليقات.

   الأكواد المعدلة:

   1. comment-template: كود js لحساب وإضافة hashNonce؛
   2. pluggable: كود PHP مضاف للتحقق من hashNonce.
   3. comment: كود PHP لتغيير منطق معالجة الطلب.

   الطريقة الثالثة مأخوذة من: https://github.com/sijiahi/Wordpress_cve-2019-9787_defense