WP Cerber Security 9.10

English version: WP Cerber Security 9.10

In deze release hebben we de tweefactorauthenticatie versterkt tegen herhaalde pogingen, een hiaat in de bescherming van gebruikersgegevens in de REST API gedicht en de manier waarop onbetrouwbare gegevens worden verwerkt in de WP Cerber-beheerschermen verbeterd. We hebben ook de foutrapportage tijdens de export en verwijdering van persoonsgegevens in het kader van de AVG gecorrigeerd, zodat fouten in de activiteitenlogboekendatabase niet langer ten onrechte worden aangezien voor lege resultaten.

Belangrijkste hoogtepunten

Verbeterde 2FA-bescherming. WP Cerber beperkt nu het aantal herhaalde 2FA- verzoeken en onjuiste pincode-invoerpogingen per account. Overschrijding van deze limieten blokkeert tijdelijk nieuwe aanmeldingen en waarschuwt de accounteigenaar.

Meer consistente beperkingen voor de REST API. De instelling die de toegang tot WordPress-gebruikersgegevens blokkeert, omvat nu ook andere soorten verzoeken die door WordPress worden verwerkt.

Veiligere beheerderschermen. Verbeterde uitvoerbeveiliging verhelpt een opgeslagen XSS-kwetsbaarheid waarbij onbetrouwbare gegevens werden weergegeven in de beheerderschermen van WP Cerber.

Nauwkeurige GDPR-resultaten. Bij het exporteren en verwijderen van persoonsgegevens worden nu leesfouten in het activiteitenlogboek gerapporteerd in plaats van ten onrechte succes aan te geven.

Beveiligingswijzigingen

Twee-factorauthenticatie biedt een belangrijke extra beveiligingslaag wanneer een accountwachtwoord is gecompromitteerd. Deze release introduceert per account limieten voor 2FA-uitdagingen en onjuiste pincode-pogingen, waardoor herhaalde pogingen om een pincode te raden aanzienlijk moeilijker worden.

De vernieuwde beveiliging omvat diverse wijzigingen:

Limieten op accountniveau. WP Cerber beperkt hoe vaak nieuwe 2FA-uitdagingen kunnen worden aangevraagd en hoeveel onjuiste pincode-pogingen zijn toegestaan.

Tijdelijke accountblokkeringen. Wanneer de limieten worden overschreden, blokkeert WP Cerber nieuwe aanmeldingen op het betreffende account gedurende 24 uur en stelt de accounteigenaar op de hoogte van een mogelijk wachtwoordlek.

Consistente handhaving. De beperkingen gelden voor alle ondersteunde aanmeldmethoden, niet alleen voor het standaard WordPress-aanmeldformulier.

Bestaande sessies blijven geldig. Een accountvergrendeling onderbreekt geen sessies die al zijn geauthenticeerd.

Betere foutafhandeling. Als er tijdens de 2FA-verificatie een beveiligingskritieke fout optreedt, weigert WP Cerber de aanmelding in plaats van deze zonder 2FA te laten doorgaan.

Rapportage van het activiteitenlogboek. Gebeurtenissen met betrekking tot accountvergrendeling worden vastgelegd in het activiteitenlogboek, waardoor beheerders verdachte aanmeldingsactiviteiten kunnen onderzoeken.

Het wijzigen van een accountwachtwoord heft een actieve vergrendeling niet op. Beheerders die hebben geverifieerd dat een account veilig is, kunnen de toegang eerder herstellen met behulp van WP-CLI.

Dit is de eerste fase van ons werk aan deze beveiligingsmaatregelen. Verdere verbeteringen aan de afhandeling van 2FA-uitdagingen staan gepland.

Verbeterde bescherming van gebruikersgegevens via REST API

De instelling "Toegang tot gebruikersgegevens blokkeren via REST API" helpt voorkomen dat het publiek toegang krijgt tot gebruikersinformatie van WordPress.

We hebben een inconsistentie vastgesteld en gecorrigeerd tussen de manier waarop WP Cerber bepaalde REST API-verzoeken controleerde en hoe WordPress deze verwerkte. Onder specifieke omstandigheden kon dit ertoe leiden dat verzoeken de beoogde beperkingen omzeilden.

WP Cerber past de beveiliging nu consistenter toe op alle ondersteunde REST API-aanvraagformaten. We hebben ook de dekking voor gerelateerde applicatiewachtwoordroutes verbeterd.

De bestaande instelling blijft gewoon werken zoals voorheen, waarbij de extra beveiligingen automatisch worden toegepast wanneer deze is ingeschakeld. Er zijn geen configuratiewijzigingen nodig.

Verbeterde bescherming tegen opgeslagen XSS in beheerschermen

WP Cerber toont op verschillende plekken in de beheerdersinterface informatie uit externe bronnen. Dergelijke gegevens moeten als onbetrouwbaar worden beschouwd, zelfs als ze ogenschijnlijk gewone tekst bevatten.

We hebben de manier waarop bepaalde extern aangeleverde waarden worden verwerkt en weergegeven gecorrigeerd, waarmee we een opgeslagen XSS-kwetsbaarheid (cross-site scripting) in de betreffende beheerdersweergaven hebben verholpen.

De bijgewerkte verwerking past de juiste uitvoer-escaping toe, zodat onbetrouwbare waarden als tekst worden weergegeven in plaats van als uitvoerbare inhoud te worden geïnterpreteerd. De wijzigingen betreffen de relevante WP Cerber-dashboardschermen en Cerber.Hub-interfaces.

Eerder in de cache opgeslagen waarden worden na de update veilig verwerkt. Er zijn geen aanvullende configuratiewijzigingen nodig.

Administratieve ervaring

Duidelijker label voor de gebeurtenis 'Account is tijdelijk vergrendeld'. De gebeurtenis in het activiteitenlogboek 'Account is tijdelijk vergrendeld' luidt nu 'Account tijdelijk vergrendeld'. De aangepaste formulering beschrijft een geregistreerde gebeurtenis in plaats van te suggereren dat het account nog steeds vergrendeld is.

Betere diagnostiek in het gebruikersoverzicht. WP Cerber registreert nu fouten bij het ophalen van de laatste inloggegevens en BuddyPress-activeringsgegevens, waardoor het gemakkelijker is om te achterhalen waarom bepaalde informatie ontbreekt in een gebruikersoverzicht.

De GDPR-export- en verwijderingsfunctie rapporteert nu correct fouten in het activiteitenlogboek.

Wanneer een query op de activiteitenlogboekdatabase mislukt, kan WP Cerber het resultaat interpreteren als een leeg logboek in plaats van een databasefout. Tijdens de export en verwijdering van persoonsgegevens in het kader van de AVG kan dit leiden tot misleidende resultaten.

We hebben de interface van het activiteitenlogboek bijgewerkt om onderscheid te maken tussen databasefouten en legitieme lege resultaten.

Bij het exporteren van persoonsgegevens worden nu leesfouten in het activiteitenlogboek weergegeven in plaats van ten onrechte aan te geven dat er geen activiteit is geregistreerd of de export voortijdig te beëindigen.

Het wissen van persoonsgegevens meldt niet langer een succesvolle voltooiing wanneer een fout in de activiteitenlogboekdatabase voorkomt dat WP Cerber kan verifiëren dat de betreffende gegevens daadwerkelijk zijn verwijderd.

Voor website-eigenaren die privacyverzoeken afhandelen, is dit onderscheid belangrijk. Een leeg resultaat en een mislukte databasequery zijn niet hetzelfde, en WP Cerber rapporteert ze nu dienovereenkomstig.

Geteste compatibiliteit

Deze release is getest met PHP 7.4.33, 8.0.30, 8.1.34, 8.2.33, 8.3.33, 8.4.24 en 8.5.9, en met WordPress 5.8.14, 6.6.6, 6.7.6, 6.8.7, 6.9.6 en 7.1.

Bugfixes

De labels 'GEBLOKKEERD' en 'VERBODEN' zijn hersteld op de gebruikerspagina. Wijzigingen in de opmaak van de gebruikersnaamkolom in WordPress zorgden ervoor dat onze CSS-regels niet meer overeenkwamen. De statuslabels en de rode markering van de betreffende gebruikersnamen worden nu weer correct weergegeven.

Onjuist geformuleerde REST API-verzoeken veroorzaken geen HTTP 500-fouten meer. WP Cerber verwerkt nu onverwachte REST API-parameterformaten zonder een onafgevangen PHP-fout te veroorzaken. Dergelijke verzoeken worden doorgegeven aan WordPress voor normale verwerking, zonder dat gebruikersgegevens worden blootgesteld.