{"id":370,"date":"2018-11-12T19:22:44","date_gmt":"2018-11-12T19:22:44","guid":{"rendered":"https:\/\/mediaplatz.com\/?p=370"},"modified":"2019-06-17T12:40:27","modified_gmt":"2019-06-17T12:40:27","slug":"wordpress-gdpr-plugin-serulekenyseget-kihasznalva-tortek-fel-es-fertoztek-meg-tobb-ezer-weboldalt","status":"publish","type":"post","link":"https:\/\/mediaplatz.com\/hu\/wordpress-gdpr-plugin-serulekenyseget-kihasznalva-tortek-fel-es-fertoztek-meg-tobb-ezer-weboldalt\/","title":{"rendered":"WordPress GDPR plugin s\u00e9r\u00fcl\u00e9kenys\u00e9g\u00e9t kihaszn\u00e1lva t\u00f6rtek fel \u00e9s fert\u0151ztek meg t\u00f6bb ezer weboldalt"},"content":{"rendered":"

Az ut\u00f3bbi napokban sz\u00e1mos WordPress honlap tulajdonos tapasztalta, hogy weboldala nem t\u00f6lt be rendesen. Ez a bosszant\u00f3 probl\u00e9ma egy igen n\u00e9pszer\u0171 b\u0151v\u00edtm\u00e9nynek, a WP GDPR Compliance pluginnak k\u00f6sz\u00f6nhet\u0151: a b\u0151v\u00edtm\u00e9ny olyan s\u00e9r\u00fcl\u00e9kenys\u00e9ggel rendelkezik, amelyet kihaszn\u00e1lva k\u00f6nnyed\u00e9n felt\u00f6rhetik az adott WordPress weboldalt.<\/p>\n

M\u00e1jus 25-\u00e9vel hat\u00e1lyba l\u00e9pett az \u00faj \u00c1ltal\u00e1nos Adatv\u00e9delmi Rendelet (GDPR), aminek k\u00f6sz\u00f6nhet\u0151en a\u00a0WP GDPR Compliance plugin<\/strong><\/a>\u00a0gyorsan n\u00e9pszer\u0171v\u00e9 v\u00e1lt a honlaptulajdonosok k\u00f6r\u00e9ben, hiszen ennek seg\u00edts\u00e9g\u00e9vel k\u00f6nnyed\u00e9n alkalmass\u00e1 tehett\u00e9k oldalukat az \u00faj t\u00f6rv\u00e9nyi el\u0151\u00edr\u00e1soknak megfelel\u0151en. A plugint m\u00e1r\u00a0t\u00f6bb mint 100.000-szer (!)<\/strong>\u00a0telep\u00edtett\u00e9k, ez\u00e9rt a vesz\u00e9lyeztetett oldalak sz\u00e1ma igen magas.<\/p>\n

A s\u00e9r\u00fcl\u00e9kenys\u00e9g egy \u00fagynevezett\u00a0jogosults\u00e1gn\u00f6vel\u00e9s (priviledge escalation)<\/strong>sebezhet\u0151s\u00e9get takar\u00a0a b\u0151v\u00edtm\u00e9ny 1.4.2-es \u00e9s ann\u00e1l r\u00e9gebbi verzi\u00f3j\u00e1n\u00e1l<\/strong>, ezt kihaszn\u00e1lva a t\u00e1mad\u00f3k adatb\u00e1zis m\u00f3dos\u00edt\u00e1sokat tudnak v\u00e9grehajtani az adott honlapn\u00e1l. Ez igen komoly vesz\u00e9lyt jelent minden WordPress weboldal sz\u00e1m\u00e1ra, ha te is haszn\u00e1lod a WP GDPR Comliance plugint, \u00e9rdemes min\u00e9l hamarabb gondoskodnod adataid \u00e9s weboldalad biztons\u00e1g\u00e1r\u00f3l!<\/p>\n

 <\/p>\n

A fert\u0151z\u00e9s jelei<\/h3>\n

A WordPress a siteurl haszn\u00e1lat\u00e1val gener\u00e1l linkeket a statikus tartalmakhoz, mint p\u00e9ld\u00e1ul javascript, CSS \u00e9s k\u00e9pi elemek. A t\u00e1mad\u00f3k ezt a siteurl-t \u00edrt\u00e1k \u00e1t a saj\u00e1t c\u00edm\u00fckre (erealitatea[.]net vagy m\u00e1s oldalra) \u00edgy a felt\u00f6rt honlapok vagy nem t\u00f6lt\u00f6ttek be rendesen vagy \u00e1t lettek ir\u00e1ny\u00edtva.<\/p>\n

\"\"
A wp-admin oldal st\u00edluselemei nem t\u00f6ltenek be, mivel \u00e1t\u00edrt\u00e1k a siteurl-t<\/figcaption><\/figure>\n

A erealitatea[.]net jelenleg el\u00e9rhetetlen, ez\u00e9rt a felt\u00f6rt oldalak bet\u00f6lt\u0151d\u00e9se nagyon sok id\u0151t vesz ig\u00e9nybe, de ha \u00fajra el\u00e9rhet\u0151v\u00e9 v\u00e1lik, akkor a fert\u0151z\u00f6tt oldalakon kereszt\u00fcl k\u00e1rt\u00e9kony tartalmakat tudnak eljuttatni a gyan\u00fatlan l\u00e1togat\u00f3k g\u00e9p\u00e9re.<\/p>\n

A t\u00e1mad\u00e1s r\u00e9szek\u00e9nt az is el\u0151fordulhat, hogy m\u00f3dos\u00edtj\u00e1k a honlaptulajdonos admin jogosults\u00e1g\u00e1t, \u00edgy lehetetlenn\u00e9 t\u00e9ve az admin fel\u00fcletre t\u00f6rt\u00e9n\u0151 bel\u00e9p\u00e9st \u00e9s a siteurl m\u00f3dos\u00edt\u00e1s\u00e1nak az \u00e9szlel\u00e9s\u00e9t.<\/p>\n

<\/h3>\n

\u00c1ll\u00edtsd vissza a siteurl-t<\/h3>\n

A megold\u00e1s egyszer\u0171, nem kell m\u00e1st tenned, mint az adatb\u00e1zisban a\u00a0wp_options<\/strong>t\u00e1bl\u00e1t m\u00f3dos\u00edtani: az\u00a0option_name<\/strong>\u00a0oszlopban keresd meg a siteurl-t, majd az \u00e9rt\u00e9k\u00e9t (option_vlaue) \u00edrd \u00e1t az eredeti domainre.<\/p>\n

\"\"<\/p>\n

Az al\u00e1bbi SQL k\u00e9r\u00e9ssel is megv\u00e1ltoztathatod ezt az \u00e9rt\u00e9keket:<\/p>\n

UPDATE `wp_options` SET option_vaue = 'http:\/\/sajatdomain.hu option_name = 'siteurl';<\/code><\/p>\n

Fontos: lehet, hogy a WordPress telep\u00edt\u00e9sekor az adatb\u00e1zis t\u00e1bl\u00e1knak m\u00e1s el\u0151tagot adt\u00e1l meg (wp_options helyett valami_options), ez\u00e9rt az SQL k\u00e9r\u00e9s el\u0151tt ezt mindenk\u00e9pp ellen\u0151rizd!<\/p>\n

<\/h3>\n

Alternat\u00edv megold\u00e1s<\/h3>\n

Amennyiben nem f\u00e9rsz hozz\u00e1 a weboldal adatb\u00e1zis\u00e1hoz, vagy nem sz\u00edvesen ny\u00falsz bele az SQL t\u00e1bl\u00e1kba, van egy m\u00e1sik megold\u00e1s is, amivel m\u00f3dos\u00edtani tudod a siteurl \u00e9rt\u00e9ket.
\nEhhez nem kell m\u00e1st tenned, mint megnyitni a\u00a0wp-config.php<\/strong>\u00a0filet \u00e9s a\u00a0<?php<\/strong>\u00a0tag ut\u00e1n a az al\u00e1bbi sorokat be\u00edrni:<\/p>\n

define( 'WP_HOME', 'http:\/\/sajatdomain.hu' );
\ndefine( 'WP_SITEURL', 'http:\/\/sajatdomain.hu' );<\/code><\/p>\n

\"\"<\/p>\n

Fontos megjegyezni, hogy a WP GDPR Compliance sebezhet\u0151s\u00e9ge nem csak a siteurl m\u00f3dos\u00edt\u00e1s\u00e1ra ad lehet\u0151s\u00e9get a t\u00e1mad\u00f3knak, hanem \u00faj, admin jogosults\u00e1ggal rendelkez\u0151 felhaszn\u00e1l\u00f3k l\u00e9trehoz\u00e1s\u00e1ra is, illetve idegen fileok elhelyez\u00e9s\u00e9re a WordPress k\u00f6nyvt\u00e1r\u00e1ban.<\/p>\n

Mindenk\u00e9ppen ellen\u0151rizd weboldalad felhaszn\u00e1l\u00f3it, \u00e9s amennyiben gyan\u00fas fi\u00f3kokat tal\u00e1lsz, azonnal t\u00f6r\u00f6ld \u0151ket. Leggyakrabban az al\u00e1bbi felhaszn\u00e1l\u00f3nevekkel tal\u00e1lkozhatunk:<\/p>\n