WP Cerber Security 9.10

English version: WP Cerber Security 9.10

In dieser Version haben wir die Zwei-Faktor-Authentifizierung gegen wiederholte Anmeldeversuche verstärkt, eine Sicherheitslücke im Datenschutz der REST-API geschlossen und die Handhabung nicht vertrauenswürdiger Daten in den WP Cerber-Administrationsoberflächen verbessert. Außerdem haben wir die Fehlerberichterstattung beim Export und der Löschung personenbezogener Daten gemäß DSGVO korrigiert, sodass Datenbankfehler im Aktivitätsprotokoll nicht mehr fälschlicherweise als leere Ergebnisse interpretiert werden.

Wichtigste Highlights

Verbesserter 2FA-Schutz. WP Cerber begrenzt nun wiederholte 2FA- Anfragen und falsche PIN-Eingaben pro Konto. Bei Überschreitung dieser Grenzwerte werden neue Anmeldungen vorübergehend gesperrt und der Kontoinhaber benachrichtigt.

Einheitlichere REST-API-Beschränkungen. Die Einstellung, die den Zugriff auf WordPress-Benutzerdaten blockiert, umfasst nun auch zusätzliche Anfragevarianten, die von WordPress verarbeitet werden.

Sicherere Admin-Oberflächen. Verbesserte Ausgabemaskierung behebt eine gespeicherte XSS-Schwachstelle im Zusammenhang mit nicht vertrauenswürdigen Daten, die in den WP Cerber-Admin-Oberflächen angezeigt werden.

Korrekte Ergebnisse gemäß DSGVO. Der Export und die Löschung personenbezogener Daten melden nun Lesefehler im Aktivitätsprotokoll, anstatt fälschlicherweise Erfolg anzuzeigen.

Sicherheitsänderungen

Die Zwei-Faktor-Authentifizierung bietet eine wichtige zusätzliche Schutzebene, wenn ein Kontopasswort kompromittiert wurde. Diese Version führt kontospezifische Beschränkungen für 2FA-Anfragen und falsche PIN-Eingabeversuche ein, wodurch wiederholte Versuche, eine PIN zu erraten, deutlich erschwert werden.

Der aktualisierte Schutz umfasst mehrere Änderungen:

Beschränkungen auf Kontoebene. WP Cerber beschränkt, wie häufig neue 2FA-Herausforderungen angefordert werden können und wie viele falsche PIN-Eingaben zulässig sind.

Vorübergehende Kontosperrungen. Werden die Grenzwerte überschritten, blockiert WP Cerber neue Anmeldungen für das betroffene Konto für 24 Stunden und benachrichtigt den Kontoinhaber über eine mögliche Kompromittierung des Passworts.

Konsequente Durchsetzung. Die Einschränkungen gelten für alle unterstützten Anmeldemethoden, nicht nur für das Standard-WordPress-Anmeldeformular.

Bestehende Sitzungen bleiben gültig. Eine Kontosperrung unterbricht keine bereits authentifizierten Sitzungen.

Sicherere Fehlerbehandlung. Tritt während der 2FA-Verifizierung ein sicherheitskritischer Fehler auf, verweigert WP Cerber die Anmeldung, anstatt sie ohne 2FA fortzusetzen.

Aktivitätsprotokollierung. Kontosperrungsereignisse werden im Aktivitätsprotokoll aufgezeichnet, was Administratoren bei der Untersuchung verdächtiger Anmeldeaktivitäten unterstützt.

Das Ändern eines Kontopassworts hebt eine aktive Sperre nicht auf. Administratoren, die die Sicherheit eines Kontos überprüft haben, können den Zugriff mithilfe von WP-CLI wiederherstellen.

Dies ist die erste Phase unserer Arbeit an diesen Sicherheitsvorkehrungen. Weitere Verbesserungen der 2FA-Challenge-Verarbeitung sind geplant.

Verbesserter Schutz von Benutzerdaten in der REST-API

Die Einstellung „Zugriff auf Benutzerdaten über REST-API blockieren“ hilft dabei, den öffentlichen Zugriff auf WordPress-Benutzerinformationen zu verhindern.

Wir haben eine Inkonsistenz zwischen der Überprüfung bestimmter REST-API-Anfragen durch WP Cerber und deren Verarbeitung durch WordPress identifiziert und behoben. Unter bestimmten Umständen konnten Anfragen dadurch die vorgesehenen Beschränkungen umgehen.

WP Cerber wendet den Schutz nun einheitlicher auf alle unterstützten REST-API-Anfrageformate an. Außerdem wurde die Abdeckung für zugehörige Anwendungspasswortrouten verbessert.

Die bestehende Einstellung funktioniert weiterhin wie bisher, wobei die zusätzlichen Schutzfunktionen automatisch aktiviert werden. Es sind keine Konfigurationsänderungen erforderlich.

Verbesserter Schutz vor gespeicherten XSS-Angriffen in Admin-Oberflächen

WP Cerber zeigt in verschiedenen Bereichen seiner Verwaltungsoberfläche Informationen aus externen Quellen an. Solche Daten müssen als nicht vertrauenswürdig behandelt werden, selbst wenn sie scheinbar normalen Text enthalten.

Wir haben die Verarbeitung und Anzeige bestimmter extern bereitgestellter Werte korrigiert und damit eine gespeicherte Cross-Site-Scripting-Schwachstelle (XSS) in den betroffenen Admin-Ansichten behoben.

Die aktualisierte Verarbeitung sorgt für eine korrekte Ausgabemaskierung, sodass nicht vertrauenswürdige Werte als Text und nicht als ausführbarer Inhalt interpretiert werden. Die Änderungen betreffen die relevanten WP Cerber-Dashboard-Bildschirme und die Cerber.Hub-Oberflächen.

Zuvor zwischengespeicherte Werte werden nach der Aktualisierung sicher verarbeitet. Es sind keine zusätzlichen Konfigurationsänderungen erforderlich.

Administratorerfahrung

Klarere Bezeichnung für das Ereignis „Konto vorübergehend gesperrt“. Der Eintrag im Aktivitätsprotokoll „Konto ist vorübergehend gesperrt“ lautet nun „Konto vorübergehend gesperrt“. Die überarbeitete Formulierung beschreibt ein protokolliertes Ereignis und suggeriert nicht mehr, dass das Konto weiterhin gesperrt ist.

Verbesserte Diagnose in der Benutzerübersicht. WP Cerber protokolliert nun Fehler beim Abrufen der letzten Anmeldedaten und der BuddyPress-Aktivierungsdetails, wodurch es einfacher wird, die Ursache für fehlende Informationen in der Benutzerübersicht zu ermitteln.

DSGVO-Export- und Löschvorgänge melden nun Aktivitätsprotokollfehler korrekt.

Schlägt eine Abfrage der Aktivitätsprotokolldatenbank fehl, interpretiert WP Cerber das Ergebnis möglicherweise als leeres Protokoll anstatt als Datenbankfehler. Dies kann bei der Übermittlung und Löschung personenbezogener Daten gemäß DSGVO zu irreführenden Ergebnissen führen.

Wir haben die Benutzeroberfläche des Aktivitätsprotokolls aktualisiert, um Datenbankfehler von legitimen leeren Ergebnissen zu unterscheiden.

Beim Export personenbezogener Daten werden nun Lesefehler im Aktivitätsprotokoll gemeldet, anstatt fälschlicherweise anzuzeigen, dass keine Aktivität aufgezeichnet wurde oder den Export vorzeitig zu beenden.

Die Meldung über den erfolgreichen Abschluss der Löschung personenbezogener Daten wird nicht mehr angezeigt, wenn ein Datenbankfehler im Aktivitätsprotokoll WP Cerber daran hindert, zu überprüfen, ob die entsprechenden Datensätze entfernt wurden.

Für Website-Betreiber, die Datenschutzanfragen bearbeiten, ist diese Unterscheidung wichtig. Ein leeres Ergebnis und eine fehlgeschlagene Datenbankabfrage sind nicht dasselbe, und WP Cerber meldet sie nun entsprechend.

Geprüfte Kompatibilität

Diese Version wurde mit PHP 7.4.33, 8.0.30, 8.1.34, 8.2.33, 8.3.33, 8.4.24 und 8.5.9 sowie mit WordPress 5.8.14, 6.6.6, 6.7.6, 6.8.7, 6.9.6 und 7.1 getestet.

Fehlerbehebungen

Die Kennzeichnungen „BLOCKIERT“ und „VERBOTEN“ auf der Benutzerseite wurden wiederhergestellt. Änderungen am Markup der Benutzernamenspalte in WordPress führten dazu, dass unsere CSS-Regeln nicht mehr griffen. Die Statuskennzeichnungen und die rote Hervorhebung betroffener Benutzernamen werden nun wieder korrekt angezeigt.

Fehlerhafte REST-API-Anfragen führen nicht mehr zu HTTP-500-Fehlern. WP Cerber verarbeitet nun unerwartete REST-API-Parameterformate, ohne einen unbehandelten PHP-Fehler auszulösen. Solche Anfragen werden zur normalen Verarbeitung an WordPress weitergeleitet, ohne dass Benutzerdaten offengelegt werden.