WP Cerber Security 9.8

English version: WP Cerber Security 9.8

Questa release si concentra sulle parti di WP Cerber su cui fate affidamento ogni giorno, ma a cui raramente pensate: come identifichiamo il visitatore reale dietro una richiesta, come vengono riportate le decisioni di accesso nei vostri log e con quale affidabilità lo scanner di integrità funziona sul vostro WordPress. Abbiamo chiuso una vulnerabilità di cross-site scripting nella console di gestione di Cerber.Hub, migliorato il rilevamento dell'IP del client nelle configurazioni proxy e IPv6 e risolto diversi problemi che causavano log del server sovraesposti ed etichette fuorvianti nell'elenco degli accessi.

Punti salienti

È stata rafforzata la finestra di dialogo di aggiornamento di Cerber.Hub per prevenire attacchi XSS tramite i metadati dei plugin segnalati da siti gestiti compromessi.

Il rilevamento dell'indirizzo IP del client è più accurato e prevedibile negli ambienti con proxy inverso e IPv6.

Terminologia più chiara per le liste di accesso nell'interfaccia di amministrazione.

Sono stati risolti diversi bug che rimuovono i dati superflui dai log, correggono le etichette fuorvianti degli elenchi di accesso e ripristinano la scansione di integrità sui siti con prefissi di tabella insoliti.

Rendering difensivo nella finestra di dialogo di aggiornamento di Cerber.Hub.

Per gli amministratori che gestiscono WP Cerber su più siti web tramite Cerber.Hub , abbiamo rafforzato la sicurezza della finestra di dialogo di aggiornamento contro gli attacchi XSS provenienti da siti web gestiti compromessi. Se un sito web connesso era già stato compromesso, i metadati dei plugin o i nomi dei siti non sicuri, segnalati al sito web principale, potevano potenzialmente influenzare la visualizzazione delle informazioni di aggiornamento nella finestra di dialogo. La console del sito web principale ora gestisce questi metadati remoti in modo più sicuro, rafforzando il livello di fiducia tra i siti web gestiti e il sito web principale.

Rilevamento più accurato dell'indirizzo IP del client in ambienti proxy e IPv6

L'identificazione corretta dell'indirizzo IP del client è alla base di ogni decisione di accesso presa da WP Cerber. Questa versione introduce due miglioramenti indipendenti a tale logica:

Gli indirizzi IPv6 mappati su IPv4 vengono ora convertiti nella notazione IPv4 standard. Quando un indirizzo IP client viene ricevuto in formato IPv6 mappato su IPv4, WP Cerber lo rappresenta ora in modo coerente nei log, nel controllo degli accessi e nelle integrazioni correlate.

WP Cerber non utilizza più l'intestazione HTTP_CLIENT_IP come fallback quando l'intestazione proxy X-Forwarded-For è vuota o non contiene un indirizzo valido. L'intestazione HTTP_CLIENT_IP può essere falsificata e la rimozione di questo fallback evita il rilevamento ambiguo dell'indirizzo IP del client dietro i proxy inversi.

Questa modifica potrebbe influire sulla tua configurazione: le voci ACL scritte in notazione IPv6 mappata IPv4 non corrispondono più agli indirizzi client IPv4 normalizzati. Inoltre, fail2ban non riceverà indirizzi IP in questa notazione.

Nuova terminologia per le liste di accesso IP al fine di migliorare la chiarezza per gli amministratori.

I termini precedentemente standard "White IP Access List" e "Black IP Access List" sono stati sostituiti con i termini più chiari e canonici "Allowed IP Access List" e "Blocked IP Access List" nella dashboard del plugin. Scopri di più su come funzionano le liste di accesso .

Questo aggiornamento allinea l'interfaccia utente a una terminologia più precisa per il controllo degli accessi. I nuovi termini descrivono in modo più diretto la decisione effettiva in materia di accesso e forniscono una terminologia più chiara e incisiva per gli amministratori, la documentazione e i futuri miglioramenti dell'interfaccia utente.

Registrazione dettagliata degli errori del database per lo scanner di integrità

Lo scanner di integrità ora registra informazioni dettagliate sugli errori del database nel registro quando la registrazione diagnostica è abilitata nelle impostazioni. Quando si analizza un problema dello scanner, questo fornisce dettagli diagnostici concreti anziché un errore silenzioso, semplificando la comprensione di cosa è successo e dove.

Correzioni di bug

I dati di geolocalizzazione IPv6 vengono ora memorizzati correttamente nella cache.

Un bug impediva la memorizzazione nella cache dei dati di geolocalizzazione per gli indirizzi IPv6. Di conseguenza, ogni volta che veniva visualizzato il registro attività o il registro traffico, le informazioni sul paese per gli indirizzi IPv6 dovevano essere recuperate nuovamente dal servizio di geolocalizzazione, il che introduceva richieste AJAX non necessarie e poteva causare un ritardo percettibile prima della visualizzazione dei nomi dei paesi. Ora le informazioni sul paese IPv6 vengono memorizzate correttamente nella cache e visualizzate immediatamente nelle visualizzazioni successive. Come effetto collaterale, questo elimina anche i messaggi di ERROR 1062 ("Voce duplicata") ricorrenti che il bug scriveva nel registro degli errori del server a ogni ricerca IPv6, riducendo il rumore nei log per gli amministratori.

Commenti ed etichette corretti per le liste di controllo degli accessi (ACL) relative alle corrispondenze degli intervalli IPv6

Sui siti con più di un intervallo IPv6 o rete IPv6 definita nelle liste di controllo degli accessi IP, WP Cerber poteva visualizzare commenti o etichette appartenenti a una voce diversa della lista di controllo degli accessi IPv6 nei registri di traffico e attività. Ad esempio, una richiesta poteva essere rifiutata mentre l'etichetta del registro attività veniva visualizzata come "IP in whitelist", o viceversa. Questo rappresentava un problema di visualizzazione nei registri, che potevano mostrare dettagli non corrispondenti alla voce della lista di controllo degli accessi effettivamente coinvolta. Ora i registri riportano il commento e l'etichetta corrispondenti alla voce corretta.

Lo scanner di integrità è stato ripristinato per i prefissi delle tabelle che iniziano con una cifra

La convalida interna degli identificatori SQL ora consente nomi di tabelle del database WordPress validi quando il prefisso della tabella configurato inizia con una cifra, ad esempio 1_ . Questo risolve una regressione introdotta dalla convalida più rigorosa delle operazioni sul database in WP Cerber 9.7.4, per cui i siti interessati potevano non riuscire a eseguire le query dello scanner di integrità e la scansione poteva interrompersi poco dopo l'avvio.

Modifiche improvvise

Terminologia relativa alle liste di accesso. "Lista di accesso IP bianchi" e "Lista di accesso IP neri" sono ora denominati "Lista di accesso IP consentiti" e "Lista di accesso IP bloccati" nell'interfaccia di amministrazione. Non sono necessarie modifiche alla configurazione, ma la documentazione e le procedure interne che fanno riferimento alla vecchia terminologia devono essere aggiornate.

Corrispondenza IPv6 mappata IPv4 nell'elenco di controllo accessi. Poiché il rilevamento dell'IP client ora normalizza gli indirizzi IPv6 mappati IPv4 nella notazione IPv4 standard, le voci dell'elenco di controllo accessi scritte in notazione IPv6 mappata non corrisponderanno più a questi indirizzi IP client normalizzati. Se gestisci tali voci, rivedile e utilizza invece la notazione IPv4 standard.