WP Cerber Security 9.10

English version: WP Cerber Security 9.10

W tej wersji wzmocniliśmy uwierzytelnianie dwuskładnikowe, chroniąc je przed wielokrotnymi próbami, usunęliśmy lukę w ochronie danych użytkowników w interfejsie REST API oraz usprawniliśmy obsługę danych, które nie są zaufane, na ekranach administracyjnych WP Cerber. Poprawiliśmy również raportowanie błędów podczas eksportu i usuwania danych osobowych zgodnie z RODO, dzięki czemu awarie bazy danych dziennika aktywności nie są już mylone z pustymi wynikami.

Najważniejsze informacje

Silniejsza ochrona 2FA. WP Cerber ogranicza teraz liczbę wielokrotnych prób weryfikacji 2FA i błędnych prób podania kodu PIN dla każdego konta. Przekroczenie tych limitów tymczasowo blokuje nowe logowania i powiadamia właściciela konta.

Bardziej spójne ograniczenia interfejsu API REST. Ustawienie blokujące dostęp do danych użytkowników WordPressa obejmuje teraz dodatkowe warianty żądań obsługiwane przez WordPressa.

Bezpieczniejsze ekrany administracyjne. Ulepszone mechanizmy ucieczki danych wyjściowych rozwiązują problem z luką XSS związaną z niezaufanymi danymi wyświetlanymi na ekranach administracyjnych WP Cerber.

Dokładne wyniki RODO. Eksport i usuwanie danych osobowych teraz zgłaszają błędy odczytu dziennika aktywności zamiast błędnie wskazywać powodzenie.

Zmiany w zabezpieczeniach

Uwierzytelnianie dwuskładnikowe dodaje istotną warstwę ochrony w przypadku naruszenia hasła do konta. Ta wersja wprowadza limity dla poszczególnych kont na weryfikację 2FA i próby podania nieprawidłowego kodu PIN, co znacznie utrudnia wielokrotne próby odgadnięcia kodu PIN.

Zaktualizowana ochrona obejmuje kilka zmian:

Limity na poziomie konta. WP Cerber ogranicza częstotliwość, z jaką można żądać nowych wyzwań 2FA, oraz liczbę dozwolonych niepoprawnych prób podania kodu PIN.

Tymczasowe blokady kont. Po przekroczeniu limitów WP Cerber blokuje nowe logowania na dane konto na 24 godziny i powiadamia właściciela konta o możliwym naruszeniu hasła.

Spójne egzekwowanie. Ograniczenia dotyczą wszystkich obsługiwanych metod logowania, a nie tylko standardowego formularza logowania WordPress.

Istniejące sesje pozostają ważne. Blokada konta nie przerywa sesji, które zostały już uwierzytelnione.

Bezpieczniejsza obsługa błędów. Jeśli podczas weryfikacji 2FA wystąpi błąd krytyczny dla bezpieczeństwa, WP Cerber blokuje logowanie, zamiast pozwolić na kontynuację bez weryfikacji 2FA.

Raportowanie w dzienniku aktywności. Zdarzenia związane z blokadą konta są rejestrowane w dzienniku aktywności, co ułatwia administratorom badanie podejrzanych działań związanych z logowaniem.

Zmiana hasła do konta nie usuwa aktywnej blokady. Administratorzy, którzy zweryfikowali bezpieczeństwo konta, mogą przywrócić dostęp wcześniej za pomocą WP-CLI.

To pierwszy etap naszych prac nad tymi zabezpieczeniami. Planowane są dalsze usprawnienia w obsłudze zgłoszeń uwierzytelniania dwuskładnikowego (2FA).

Ulepszona ochrona danych użytkownika interfejsu API REST

Ustawienie „Zablokuj dostęp do danych użytkowników za pomocą interfejsu REST API” pomaga zapobiec publicznemu dostępowi do informacji o użytkownikach WordPressa.

Zidentyfikowaliśmy i naprawiliśmy niespójność między sposobem, w jaki WP Cerber sprawdzał określone żądania REST API, a sposobem, w jaki WordPress je przetwarzał. W określonych warunkach mogło to umożliwić żądaniem ominięcie zamierzonych ograniczeń.

WP Cerber stosuje teraz ochronę w sposób bardziej spójny w obsługiwanych formatach żądań REST API. Poprawiliśmy również ochronę powiązanych ścieżek aplikacja-hasło.

Obecne ustawienie nadal działa jak poprzednio, a dodatkowe zabezpieczenia są automatycznie stosowane po jego włączeniu. Nie są wymagane żadne zmiany konfiguracji.

Ulepszona ochrona przed przechowywanymi atakami XSS na ekranach administracyjnych

WP Cerber wyświetla informacje ze źródeł zewnętrznych w kilku częściach interfejsu administracyjnego. Takie dane należy traktować jako niezaufane, nawet jeśli wydają się zawierać zwykły tekst.

Naprawiliśmy sposób przetwarzania i wyświetlania niektórych wartości dostarczanych zewnętrznie, usuwając lukę w zabezpieczeniach umożliwiającą ataki typu cross-site scripting (XSS) w dotkniętych tym problemem widokach administracyjnych.

Zaktualizowana obsługa stosuje odpowiednie kodowanie wyjścia, dzięki czemu wartości niezaufane są renderowane jako tekst, a nie interpretowane jako zawartość wykonywalna. Zmiany obejmują odpowiednie ekrany pulpitu nawigacyjnego WP Cerber oraz interfejsy Cerber.Hub.

Wcześniej buforowane wartości są bezpiecznie obsługiwane po aktualizacji. Nie są wymagane żadne dodatkowe zmiany w konfiguracji.

Doświadczenie administracyjne

Bardziej czytelna etykieta zdarzenia blokady konta. Zdarzenie w dzienniku aktywności „Konto tymczasowo zablokowane” brzmi teraz „Konto tymczasowo zablokowane”. Zmienione sformułowanie opisuje zarejestrowane zdarzenie, a nie sugeruje, że konto jest nadal zablokowane.

Lepsza diagnostyka w podsumowaniu użytkownika. WP Cerber rejestruje teraz błędy w pobieraniu rekordów ostatniego logowania i szczegółów aktywacji BuddyPress, ułatwiając identyfikację przyczyn braku pewnych informacji w podsumowaniu użytkownika.

Eksport i usuwanie danych zgodnie z RODO teraz poprawnie zgłaszają błędy w dzienniku aktywności

Gdy zapytanie do bazy danych Activity Log nie powiodło się, WP Cerber mógł zinterpretować wynik jako pusty log, a nie błąd bazy danych. Podczas eksportu i usuwania danych osobowych zgodnie z RODO mogło to prowadzić do mylących wyników.

Zaktualizowaliśmy interfejs dziennika aktywności, aby odróżnić błędy bazy danych od prawidłowych, pustych wyników.

Funkcja eksportu danych osobowych raportuje teraz błędy odczytu dziennika aktywności zamiast błędnie informować, że nie zarejestrowano żadnej aktywności lub przedwcześnie kończyć eksport.

Operacja usuwania danych osobowych nie będzie już sygnalizowana pomyślnym ukończeniem operacji, gdy błąd bazy danych dziennika aktywności uniemożliwi WP Cerberowi sprawdzenie, czy odpowiednie rekordy zostały usunięte.

Dla właścicieli witryn rozpatrujących prośby o ochronę prywatności to rozróżnienie ma znaczenie. Pusty wynik i nieudane zapytanie do bazy danych to nie to samo, dlatego WP Cerber teraz odpowiednio je raportuje.

Przetestowana zgodność

Tę wersję testowano z PHP 7.4.33, 8.0.30, 8.1.34, 8.2.33, 8.3.33, 8.4.24 i 8.5.9, a także z WordPress 5.8.14, 6.6.6, 6.7.6, 6.8.7, 6.9.6 i 7.1.

Poprawki błędów

Przywrócono etykiety ZABLOKOWANE i ZABRONIONE na stronie Użytkownicy. Zmiany w znacznikach kolumny nazwy użytkownika w WordPressie spowodowały, że nasze reguły CSS przestały się zgadzać. Etykiety statusu i czerwone podświetlenie nazw użytkowników, których dotyczyły problemy, są teraz ponownie wyświetlane poprawnie.

Nieprawidłowo sformatowane żądania REST API nie powodują już błędów HTTP 500. WP Cerber obsługuje teraz nieoczekiwane formaty parametrów REST API bez generowania nieprzechwyconego błędu PHP. Takie żądania są przekazywane do WordPressa w celu normalnego przetwarzania, bez ujawniania danych użytkownika.