WP Cerber Security 9.7.4

English version: WP Cerber Security 9.7.4

WP Cerber開発チームからの短いお知らせです。今回のリリースは、安定性、セキュリティ、および管理画面の操作性の向上に重点を置いたものです。

主なポイント

• システムクロックとWordPressクロックが一致しないサーバーにおける、fail2banログのタイムスタンプに関する決定論的な修正。
• fail2banのログファイルに書き込まれる値のサニタイズ処理を強化しました。
• 選択したWordPress管理画面のカラースキームとの視覚的な調和。
• WP Cerber独自の管理画面通知をより安全に表示します。
• 選択したWordPress管理画面のカラースキームとの視覚的な調和。
• 将来のリリースに向けた、新しいデータベース抽象化レイヤーと統一された結果／エラー型に関する基礎的な作業。

セキュリティとアクセス制御の変更

fail2banのタイムスタンプは、オペレーティングシステムのタイムゾーンに従うようになりました。

以前は、 fail2banログのエントリは WordPress のcurrent_time()を使用してタイムスタンプされていましたが、WordPress は実行時にこれを UTC に強制していました。OS のタイムゾーンが UTC と異なるサーバーでは、これらのタイムスタンプは fail2ban が想定するものと一致しず、認証失敗が fail2ban のfindtimeウィンドウの範囲外になる可能性がありました。WP Cerber は、システム タイムゾーンを自動的に解決するようになりました。自動検出でシステム タイムゾーンを特定できないサーバーを実行している場合は、新しい定数を定義できます。詳細については、こちらをご覧ください。

fail2banログエントリのホスト名サニタイズを強化しました

fail2banのログに書き込まれるホスト名は、ログイン失敗時に専用のサニタイズ処理を受けるようになりました。CR、LF、その他のログ偽造に悪用される可能性のある文字は削除され、ホスト名として安全な文字のみが通過します。また、値はDNSホスト名の長さ制限に合わせて切り詰められるため、各ログエントリは1行に収まるように整えられます。

WP Cerberの管理画面通知のより安全な表示

WP Cerber が管理画面に出力するメッセージは、特定の HTML 要素と属性のみをレンダリング出力に含めるようにするサニタイズフィルターを経由するようになりました。この許可リストには、WP Cerber が管理画面の通知で実際に使用するすべての HTML が含まれているため、より厳格なポリシーの下でも正当な通知が正しくレンダリングされることが保証されます。

管理者エクスペリエンスとUI

ライセンスキーのインストールまたは検証時に、正直で地域に特化したフィードバックを提供します。

ツール／ライセンスページは、以前はいくつかの状況で役に立たないほど沈黙していました。空のライセンスフィールドを送信してもフィードバックが全く表示されず、長さが間違っているキーを送信しても何も起こらず、検証中に一時的な接続エラーが発生すると、矛盾する2つの管理者通知が同時に表示されることがありました。

WordPress管理画面のカラースキームとの視覚的な一貫性が向上しました。

WP Cerberの管理画面では、以前はハードコードされたアクセントカラーが使用されていましたが、これはWordPressプロファイルで選択した管理画面テーマと必ずしも一致しませんでした。これらの値は、WordPress独自のカスタムカラーに置き換えられました。

信頼性の向上

私たちは新しいデータベース抽象化レイヤーを設計しました

WP Cerberには、データベース接続、クエリ実行、トランザクション、安全な値引用を一元管理するCRB_Databaseクラスと、検証および安全メカニズムを組み込んだ安全なデータベースクエリを構築および実行するCRB_Query_Builderクラスが同梱されるようになりました。これにより、WP Cerberは、アクティビティログ、トラフィック検査、アクセスリストを支えるデータベース操作のための、より安全で一貫性のある基盤を提供します。

統一された結果とエラーの種類

WP Cerberでは、操作結果とエラーを処理するための内部標準として、新しいRevaltクラスが導入され、従来のWP_Errorベースのアプローチを段階的に置き換えていきます。このクラスは、操作結果、エラー、マルチレベルアーキテクチャのためのオプションの診断チェーン、および柔軟なエラーログ記録をカプセル化します。

交通取締官の記録の信頼性向上

トラフィックインスペクターのリクエストフィールド処理が、明確化とより厳密な処理のためにリファクタリングされました。JSONリクエストペイロードはデコード時に検証され、デコードエラーはすべて捕捉されます。機密フィールドのマスキングは、情報漏洩を防ぐために、より優れた検証とカスタマイズ機能を備えて再設計されました。データベースフィールド準備のための再帰処理では、より厳密な型処理と正規化が使用され、リクエストフィールドはデータベースへの挿入前に一貫してエスケープされます。

バグ修正

ライセンスの状態は、未検証のキーによって上書きされなくなりました。以前は、ユーザーがライセンスページで無効または検証不可能な新しいライセンスキーを入力すると、既存の保存済みライセンスの状態がクリアされることがありました。バージョン9.7.4では、候補となるライセンスキーは検証が成功した後にのみ保存されます。

破壊的変更

fal2banの設定名を変更しました

以前は「ログイン失敗をシステムログファイルに書き込む」と表示されていた設定が、「自動IPブロックツール用にsyslog形式でログイン失敗をログに記録する」に名称変更されました。この設定は、fail2banなどのツールで使用される専用ファイルへのログイン失敗のログ記録を制御するもので、ラベルのみが変更されています。そのため、チーム向けに内部ドキュメントやスクリーンショットを管理している場合は、この機会に更新してください。