WP Cerber Security 9.8

English version: WP Cerber Security 9.8

Dieses Release konzentriert sich auf die Funktionen von WP Cerber, die Sie täglich nutzen, über die Sie aber selten nachdenken: die Identifizierung des tatsächlichen Besuchers hinter einer Anfrage, die Protokollierung von Zugriffsentscheidungen und die Zuverlässigkeit des Integritätsscanners auf Ihrem WordPress-System. Wir haben eine Cross-Site-Scripting-Schwachstelle in der Cerber.Hub-Verwaltungskonsole geschlossen, die Client-IP-Erkennung in Proxy- und IPv6-Konfigurationen verbessert und mehrere Probleme behoben, die zu unübersichtlichen Serverprotokollen und irreführenden Zugriffslisten-Labels führten.

Wichtigste Highlights

Der Aktualisierungsdialog von Cerber.Hub wurde gehärtet, um XSS-Angriffe durch Plugin-Metadaten zu verhindern, die von kompromittierten verwalteten Websites gemeldet werden.

Die Client-IP-Erkennung ist in Reverse-Proxy- und IPv6-Umgebungen genauer und besser vorhersagbar.

Eine verständlichere Terminologie für Zugriffslisten in der gesamten Administrationsoberfläche.

Diverse Fehlerbehebungen, die Protokollrauschen beseitigen, irreführende Zugriffslistenbezeichnungen korrigieren und die Integritätsprüfung auf Websites mit ungewöhnlichen Tabellenpräfixen wiederherstellen.

Defensives Rendering im Cerber.Hub-Update-Dialog

Für Administratoren, die WP Cerber über Cerber.Hub auf mehreren Websites verwalten, haben wir den Aktualisierungsdialog gegen XSS-Angriffe von kompromittierten Websites abgesichert. Wenn eine verbundene Website bereits kompromittiert war, konnten unsichere Plugin-Metadaten oder Website-Namen, die an die Hauptwebsite zurückgemeldet wurden, die Darstellung der Aktualisierungsinformationen im Dialog beeinträchtigen. Die Konsole der Hauptwebsite behandelt diese externen Metadaten nun defensiver und stärkt so die Vertrauensbasis zwischen den verwalteten Websites und der Hauptwebsite.

Genauere Client-IP-Erkennung in Proxy- und IPv6-Umgebungen

Die korrekte Identifizierung der Client-IP-Adresse ist die Grundlage jeder Zugriffsentscheidung von WP Cerber. Diese Version führt zwei unabhängige Verbesserungen dieser Logik ein:

IPv4-zugeordnete IPv6-Adressen werden nun in die Standard-IPv4-Notation konvertiert. Wenn eine Client-IP-Adresse im IPv4-zugeordneten IPv6-Format empfangen wird, stellt WP Cerber sie nun einheitlich in Protokollierung, Zugriffskontrolle und zugehörigen Integrationen dar.

WP Cerber greift nicht mehr auf den HTTP_CLIENT_IP -Header zurück, wenn der X-Forwarded-For Proxy-Header leer ist oder keine gültige Adresse enthält. Da der HTTP_CLIENT_IP Header gefälscht werden kann, verhindert das Entfernen dieses Fallbacks eine mehrdeutige Client-IP-Erkennung hinter Reverse-Proxys.

Diese Änderung kann Ihre Konfiguration beeinträchtigen: ACL-Einträge in IPv4-zugeordneter IPv6-Notation stimmen nicht mehr mit normalisierten IPv4-Clientadressen überein. Auch fail2ban empfängt keine IP-Adressen in dieser Notation.

Neue Terminologie für IP-Zugriffslisten zur Verbesserung der Verständlichkeit für Administratoren

Die bisherigen Bezeichnungen „White IP Access List“ und „Black IP Access List“ wurden im Plugin-Dashboard durch die verständlicheren Begriffe „Allowed IP Access List“ und „Blocked IP Access List“ ersetzt. Erfahren Sie mehr über die Funktionsweise von Zugriffslisten .

Dieses Update passt die Benutzeroberfläche an eine präzisere Formulierung der Zugriffssteuerung an. Die neuen Begriffe beschreiben die eigentliche Zugriffsentscheidung direkter und bieten eine aussagekräftigere und verständlichere Terminologie für Administratoren, Dokumentationen und zukünftige Verbesserungen der Benutzeroberfläche.

Detaillierte Datenbankfehlerprotokollierung für den Integritätsscanner

Der Integritätsscanner protokolliert nun detaillierte Datenbankfehlerinformationen im Log, wenn die Diagnoseprotokollierung in den Einstellungen aktiviert ist. Bei der Fehlerbehebung eines Scannerproblems erhalten Sie so konkrete Diagnosedetails anstelle einer stillen Fehlermeldung, wodurch es einfacher wird, die Ursache und den Ort des Problems zu verstehen.

Fehlerbehebungen

IPv6-Geolokalisierungsdaten werden jetzt korrekt zwischengespeichert.

Ein Fehler verhinderte das Zwischenspeichern von Geodaten für IPv6-Adressen. Daher mussten die Länderinformationen für IPv6-Adressen bei jeder Anzeige des Aktivitäts- oder Verkehrsprotokolls erneut vom Geolokalisierungsdienst abgerufen werden, was unnötige AJAX-Anfragen verursachte und zu einer spürbaren Verzögerung bei der Anzeige der Ländernamen führen konnte. Die IPv6-Länderinformationen werden nun korrekt zwischengespeichert und bei nachfolgenden Aufrufen sofort angezeigt. Dadurch werden auch die wiederkehrenden ERROR 1062 („Doppelter Eintrag“) entfernt, die der Fehler bei jeder IPv6-Abfrage in das Server-Fehlerprotokoll schrieb. Dies reduziert die Protokollflut für Administratoren.

Korrekte Kommentare und Bezeichnungen für Zugriffslisten bei IPv6-Bereichsübereinstimmungen

Auf Websites mit mehreren in IP-Zugriffslisten definierten IPv6-Bereichen oder IPv6-Netzwerken konnte WP Cerber in den Traffic- und Aktivitätsprotokollen Kommentare oder Labels anzeigen, die zu einem anderen Eintrag in der IPv6-Zugriffsliste gehörten. Beispielsweise konnte eine Anfrage abgelehnt werden, während im Aktivitätsprotokoll das Label „IP auf der Whitelist“ angezeigt wurde – oder umgekehrt. Dies war ein Anzeigefehler in den Protokollen, der Details anzeigen konnte, die nicht mit dem tatsächlich betroffenen Eintrag in der Zugriffsliste übereinstimmten. Die Protokolle zeigen nun den Kommentar und das Label an, die dem entsprechenden Eintrag zugeordnet sind.

Integritätsprüfung für Tabellenpräfixe, die mit einer Ziffer beginnen, wiederhergestellt

Die interne SQL-Identifikatorvalidierung erlaubt nun gültige WordPress-Datenbanktabellennamen, wenn das konfigurierte Tabellenpräfix mit einer Ziffer beginnt, z. B. 1_ . Dadurch wird ein Fehler behoben, der durch die strengere Datenbankoperationsvalidierung in WP Cerber 9.7.4 eingeführt wurde und bei dem betroffene Websites Integritätsprüfungen nicht ausführen konnten und der Scan kurz nach dem Start abgebrochen wurde.

Bahnbrechende Änderungen

Terminologie für Zugriffslisten. Die Bezeichnungen „White IP Access List“ und „Black IP Access List“ heißen in der Administrationsoberfläche nun „Allowed IP Access List“ und „Blocked IP Access List“. Es sind keine Konfigurationsänderungen erforderlich, jedoch sollten Dokumentationen und interne Verfahren, die die alten Bezeichnungen verwenden, aktualisiert werden.

IPv4-zugeordnete IPv6-Adressen in der Zugriffsliste. Da die Client-IP-Erkennung IPv4-zugeordnete IPv6-Adressen nun in die Standard-IPv4-Notation normalisiert, stimmen Zugriffslisteneinträge in IPv6-Notation nicht mehr mit diesen normalisierten Client-IP-Adressen überein. Falls Sie solche Einträge verwenden, überprüfen Sie diese und verwenden Sie stattdessen die Standard-IPv4-Notation.