mitigation-cve-2019-9787

POC

1. 単純なXSS :
2. 単純なCSRF: 攻撃者のウェブサイトコード--- https://github.com/kuangting4231/wordpress.github.io
3. CSRFによるリモートコード実行: 攻撃者のウェブサイトコード--- https://github.com/kuangting4231/assigment1.github.io

緩和策

1. 管理者向けのサニタイズ処理におけるロジックの欠陥を修正します。 次の2行を /wp-admin/includes/ajax-actions.php と /wp-includes/comment.php に追加します（詳細はレポート参照）。 remove_filter( 'pre_comment_content', 'wp_filter_post_kses' ); add_filter( 'pre_comment_content', 'wp_filter_kses' );
2. http-only PHP が管理するセッション Cookie の場合、このフラグは php.ini（PHP マニュアルの HttpOnly の項）で以下のパラメータによって恒久的に設定されます。

session.cookie_httponly = True 3. ハッシュベースの防御 CSRF 検証トークンは WordPress には実装されていません。なぜなら、実装すると WordPress のトラックバックおよびピンバック機能を妨げることになるからです。サーバーは不正な CSRF リクエストと正当な PINGBACK/TRACEBACK リクエストを区別できないため、WordPress は正しい CSRF トークンを持たないコメントを自動的に PINFBACK および TRACEBACK リクエストとして受け入れ、そのコメントをホワイトリストフィルタでフィルタリングします。

この CSRF 脆弱性を防御するために、フォームに hashnonce という新しいフィールドを追加し、コメントが管理者によって送信されたことを検証します。管理者はコメントフィールドの値に自身の Cookie を使って署名します。

コメントフィールドの値の署名は、md5 を使用してハッシュ値を生成します（図参照）。

管理者が PINFBACK および TRACEBACK を受け入れようとし、_wp_unfiltered_html を提供できない場合、wp_verify_hashNonce を使用します。検証に失敗するとエラーが報告されます。検証が成功した場合でも、ロジックエラーは修正されており、"wp_filter_kses" を使用してコメントがフィルタリングされます。

修正したコード:

1. comment-template: hashNonce を計算して追加する JS スクリプト。
2. pluggable: hashNonce 検証スクリプトを追加した PHP スクリプト。
3. comment: リクエスト処理ロジックを変更した PHP スクリプト。

3番目の方法は https://github.com/sijiahi/Wordpress_cve-2019-9787_defense から変更したものです。