Prilikom upotrebe programskog paketa WordPress, odnosno njegovog dodatka Video Embed & Thumbnail Generator, uočeni su višestruki sigurnosni propusti. Riječ je o popularnoj i besplatnoj platformi za objavljivanje blogova i izradu web stranica. Navedeni propusti javljaju se kao posljedica neispravne provjere ulaznih podataka. Riječ je o podacima predanih putem raznih funkcija datoteci wp-content/plugins/video-embed-thumbnail-generator/kg_callffmpeg.php. Napadači to mogu iskoristiti za umetanje i pokretanje proizvoljnih naredbi jezgre. Svim se korisnicima preporuča nadogradnja na ispravljenu inačicu.

_______________________________________________________________________________

ID upozorenja: ADV-LSS-2012-03-015
Naslov: Otklonjeni visestruki propusti paketa WordPress
Datum: 2012-03-05
OS: Windows, Mac OS, Solaris, Linux, BSD
Programski paket: WordPress
Tip sigurnosnog problema: pokretanje proizvoljnih naredbi jezgre
Rizik: Malen
_______________________________________________________________________________

[1]  Uvod

Prilikom upotrebe programskog paketa WordPress, odnosno njegovog dodatka Video Embed & Thumbnail Generator, uocene su visestruke ranjivosti.

WordPress je besplatni alat, napisan u programskom jeziku PHP, koji se koristi za 
stvaranje vlastitih web stranica ili blogova.
Njegov dodatak Video Embed & Thumbnail Generator omogucuje stvaranje i obradu slicica i razlicitih video sadrzaja.

Vise informacija dostupno je na sljedecim web adresama:

WordPress: 
http://wordpress.org/

Video Embed & Thumbnail Generator:
http://wordpress.org/extend/plugins/video-embed-thumbnail-generator/

-------------------------------------------------------------------------------

[2]  Sigurnosni problem


Ranjivosti uocene u radu paketa WoredPress, tj. u njegovom dodatku Video Embed & 
Thumbnail Generator, zlonamjernim napadacima omogucuju kompromitaciju korisnickog 
sustava i izvrsavanje proizvoljnih naredbi jezgre.

-------------------------------------------------------------------------------

[3]  Sigurnosna zastita

Svim se korisnicima preporuca nadogradnja na novu inacicu 2.0.  

-------------------------------------------------------------------------------

[4]  Analiza

Ulazni podaci predani putem raznih funkcija datoteci 
wp-content/plugins/video-embed-thumbnail-generator/kg_callffmpeg.php nisu ispravno 
provjereni prije koristenja u funkciji "exec()". Napadaci to mogu iskoristiti za umetanje i pokretanje proizvoljnih shell naredbi.


Ranjivosti su potvrdjene u inacici 1.1. Ostale inacice takodjer mogu sadrzavati 
iste ranjivosti.

-------------------------------------------------------------------------------

[5]  Credit

Informacije o propustima otkrio je:
proizvodjac.

Tekst izvorne preporuke nalazi se na sljedecoj adresi:

Video Embed & Thumbnail Generator:
http://wordpress.org/extend/plugins/video-embed-thumbnail-generator/changelog/

-------------------------------------------------------------------------------

[6]  LSS/ZESOI/FER  

LSS, www.lss.hr - laboratorij za sustave i signale pri Zavodu za elektronicke 
  sustave i obradbu informacija Fakulteta elektrotehnike i racunarstva  
  Sveucilista u Zagrebu  

_______________________________________________________________________________