mitigation-cve-2019-9787

POC

1. 간단한 XSS :
2. 간단한 CSRF: 공격자 웹사이트 코드--- https://github.com/kuangting4231/wordpress.github.io
3. CSRF 원격 코드 실행: 공격자 웹사이트 코드--- https://github.com/kuangting4231/assigment1.github.io

완화

1. 관리자의 살균 과정에서 로직 결함 수정. 다음 두 줄을 /wp-admin/includes/ajax-actions.php 및 /wp-includes/comment.php에 추가 (자세한 내용은 보고서 참조) remove_filter( 'pre_comment_content', 'wp_filter_post_kses' ); add_filter( 'pre_comment_content', 'wp_filter_kses' );

2. HTTP 전용 PHP가 관리하는 세션 쿠키의 경우, php.ini에서 매개변수를 통해 플래그를 영구적으로 설정합니다. PHP 매뉴얼의 HttpOnly 참조:

   session.cookie_httponly = True

3. 해시 기반 방어 WordPress에는 CSRF 검증 토큰이 구현되어 있지 않은데, 그 이유는 구현할 경우 WordPress의 trackback 및 pingback 기능을 방해하기 때문입니다. 서버는 불법적인 CSRF 요청과 합법적인 PINGBACK/TRACEBACK 요청을 구분할 수 없으며, WordPress는 올바른 CSRF 토큰 없이 들어온 댓글을 자동으로 PINFBACK 및 TRACEBACK 요청으로 간주하고 화이트리스트 필터로 해당 댓글을 필터링합니다.

   이 CSRF 취약점을 방어하기 위해, 폼에 hashnonce라는 새 필드를 추가하여 댓글이 관리자에 의해 전송되었는지 확인합니다. 관리자는 자신의 쿠키를 사용하여 댓글 필드 값에 서명을 생성합니다.

   댓글 필드 값의 서명은 md5를 사용하여 해시 값을 생성합니다(그래프 참조).

   관리자가 PINFBACK 및 TRACEBACK을 수락하려고 하고 _wp_unfiltered_html을 제공할 수 없는 경우, wp_verify_hashNonce를 사용합니다. 검증에 실패하면 오류가 보고됩니다. 검증에 성공하더라도 로직 오류가 수정되었으며 "wp_filter_kses"가 댓글을 필터링하는 데 사용됩니다.

   수정된 코드:

   1. comment-template: JS 스크립트가 hashNonce를 계산하고 추가하는 스크립트;
   2. pluggable: PHP 스크립트가 hashNonce 검증 스크립트를 추가함.
   3. comment: PHP 스크립트가 요청 처리 로직을 변경함.

   세 번째 방법은 https://github.com/sijiahi/Wordpress_cve-2019-9787_defense 에서 변경되었습니다.