WP Cerber Security 9.10

English version: WP Cerber Security 9.10

In questa versione abbiamo rafforzato l'autenticazione a due fattori contro i tentativi ripetuti, colmato una lacuna nella protezione dei dati utente dell'API REST e migliorato la gestione dei dati non attendibili nelle schermate di amministrazione di WP Cerber. Abbiamo inoltre corretto la segnalazione degli errori durante l'esportazione e la cancellazione dei dati personali ai sensi del GDPR, in modo che gli errori del database del registro attività non vengano più scambiati per risultati vuoti.

Punti salienti

• Protezione 2FA più robusta. WP Cerber ora limita le richieste di autenticazione a due fattori ripetute e i tentativi di inserimento del PIN errato per ciascun account. Il superamento di questi limiti blocca temporaneamente i nuovi accessi e avvisa il titolare dell'account.
• Restrizioni più coerenti per le API REST. L'impostazione che blocca l'accesso ai dati degli utenti di WordPress ora copre ulteriori varianti di richieste gestite da WordPress.
• Schermate di amministrazione più sicure. La gestione migliorata dei caratteri di escape risolve una vulnerabilità XSS persistente che coinvolge dati non attendibili visualizzati nelle schermate di amministrazione di WP Cerber.
• Risultati GDPR accurati. L'esportazione e la cancellazione dei dati personali ora segnalano gli errori di lettura del registro attività anziché indicare erroneamente il successo.

Modifiche alla sicurezza

L'autenticazione a due fattori aggiunge un importante livello di protezione quando la password di un account viene compromessa. Questa versione introduce limiti per account per le richieste di autenticazione a due fattori e i tentativi di inserimento del PIN errato, rendendo considerevolmente più difficile tentare ripetutamente di indovinare il PIN.

La protezione aggiornata include diverse modifiche:

• Limiti a livello di account. WP Cerber limita la frequenza con cui è possibile richiedere nuove verifiche di autenticazione a due fattori (2FA) e il numero di tentativi di PIN errati consentiti.
• Blocco temporaneo dell'account. Quando i limiti vengono superati, WP Cerber blocca i nuovi accessi all'account interessato per 24 ore e notifica al titolare dell'account una possibile compromissione della password.
• Applicazione coerente. Le restrizioni si applicano a tutti i metodi di accesso supportati, non solo al modulo di accesso standard di WordPress.
• Le sessioni esistenti rimangono valide. Il blocco dell'account non interrompe le sessioni già autenticate.
• Gestione degli errori più sicura. Se si verifica un errore critico per la sicurezza durante la verifica dell'autenticazione a due fattori (2FA), WP Cerber nega l'accesso anziché consentirne la prosecuzione senza 2FA.
• Reportistica del registro attività. Gli eventi di blocco dell'account vengono registrati nel registro attività, aiutando gli amministratori a indagare su accessi sospetti.

La modifica della password di un account non rimuove un blocco attivo. Gli amministratori che hanno verificato la sicurezza dell'account possono ripristinare l'accesso in precedenza utilizzando WP-CLI.

Questa è la prima fase del nostro lavoro su queste misure di sicurezza. Sono previsti ulteriori miglioramenti alla gestione delle richieste di autenticazione a due fattori (2FA).

Protezione dei dati utente dell'API REST migliorata

L'impostazione "Blocca l'accesso ai dati degli utenti tramite API REST" aiuta a impedire l'accesso pubblico alle informazioni degli utenti di WordPress.

Abbiamo identificato e corretto un'incongruenza tra il modo in cui WP Cerber verificava determinate richieste API REST e il modo in cui WordPress le elaborava. In determinate circostanze, ciò poteva consentire alle richieste di aggirare le restrizioni previste.

WP Cerber ora applica la protezione in modo più coerente a tutti i formati di richiesta API REST supportati. Abbiamo inoltre migliorato la copertura per i percorsi correlati relativi alle password delle applicazioni.

L'impostazione esistente continua a funzionare come prima, con le protezioni aggiuntive applicate automaticamente quando vengono attivate. Non sono necessarie modifiche alla configurazione.

Protezione migliorata contro gli attacchi XSS persistenti nelle schermate di amministrazione.

WP Cerber visualizza informazioni provenienti da fonti esterne in diverse sezioni della sua interfaccia di amministrazione. Tali dati devono essere considerati non attendibili, anche quando sembrano contenere testo normale.

Abbiamo corretto il modo in cui alcuni valori forniti esternamente vengono elaborati e visualizzati, risolvendo una vulnerabilità di cross-site scripting (XSS) persistente nelle viste amministrative interessate.

La gestione aggiornata applica una corretta procedura di escape dell'output in modo che i valori non attendibili vengano visualizzati come testo anziché interpretati come contenuto eseguibile. Le modifiche riguardano le schermate pertinenti della dashboard di WP Cerber e le interfacce di Cerber.Hub.

I valori precedentemente memorizzati nella cache vengono gestiti in modo sicuro dopo l'aggiornamento. Non sono necessarie ulteriori modifiche alla configurazione.

Esperienza amministrativa

• Etichetta più chiara per l'evento di blocco dell'account. L'evento del registro attività "Account temporaneamente bloccato" ora riporta la dicitura "Account temporaneamente bloccato". La nuova formulazione descrive un evento registrato, anziché implicare che l'account sia ancora bloccato.
• Diagnostica migliorata nel riepilogo utente. WP Cerber ora registra gli errori nel recupero dei dati dell'ultimo accesso e dei dettagli di attivazione di BuddyPress, semplificando l'individuazione dei motivi per cui determinate informazioni mancano nel riepilogo utente.

L'esportazione e la cancellazione conformi al GDPR ora segnalano correttamente gli errori del registro attività.

Quando una query del database del registro attività non andava a buon fine, WP Cerber poteva interpretare il risultato come un registro vuoto anziché come un errore del database. Durante l'esportazione e la cancellazione dei dati personali previste dal GDPR, ciò poteva portare a risultati fuorvianti.

Abbiamo aggiornato l'interfaccia del registro attività per distinguere gli errori del database dai risultati vuoti legittimi.

• L'esportazione dei dati personali ora segnala gli errori di lettura del registro attività anziché indicare erroneamente che non è stata registrata alcuna attività o interrompere l'esportazione prematuramente.
• La cancellazione dei dati personali non viene più segnalata come completata con successo quando un errore del database del registro attività impedisce a WP Cerber di verificare l'avvenuta rimozione dei record pertinenti.

Per i proprietari di siti che gestiscono richieste relative alla privacy, questa distinzione è importante. Un risultato vuoto e una query del database non riuscita non sono la stessa cosa, e WP Cerber ora li segnala di conseguenza.

Compatibilità testata

Questa versione è stata testata con PHP 7.4.33, 8.0.30, 8.1.34, 8.2.33, 8.3.33, 8.4.24 e 8.5.9, e con WordPress 5.8.14, 6.6.6, 6.7.6, 6.8.7, 6.9.6 e 7.1.

Correzioni di bug

• Le etichette BLOCCATO e VIETATO sono state ripristinate nella pagina Utenti. Le modifiche al markup della colonna del nome utente in WordPress avevano causato un'errata corrispondenza delle nostre regole CSS. Le etichette di stato e l'evidenziazione in rosso dei nomi utente interessati vengono ora visualizzate correttamente.
• Le richieste API REST non valide non causano più errori HTTP 500. WP Cerber ora gestisce i formati inattesi dei parametri API REST senza generare un errore PHP non gestito. Tali richieste vengono inoltrate a WordPress per la normale elaborazione, senza esporre i dati dell'utente.