WP Cerber Security 9.10

English version: WP Cerber Security 9.10

В этом релизе мы усилили двухфакторную аутентификацию от повторных попыток, устранили пробел в защите пользовательских данных REST API и улучшили обработку ненадежных данных на экранах администрирования WP Cerber. Мы также исправили ошибки, возникающие при экспорте и удалении персональных данных в соответствии с GDPR, поэтому сбои в базе данных журнала активности больше не ошибочно принимаются за пустые результаты.

Основные моменты

Усилена двухфакторная аутентификация. WP Cerber теперь ограничивает количество повторных запросов на двухфакторную аутентификацию и попыток ввода неверного PIN-кода для каждой учетной записи. Превышение этих лимитов временно блокирует новые входы в систему и уведомляет владельца учетной записи.

Более согласованные ограничения REST API. Настройка, блокирующая доступ к данным пользователей WordPress, теперь охватывает дополнительные варианты запросов, обрабатываемых WordPress.

Более безопасные административные экраны. Улучшенное экранирование вывода устраняет уязвимость XSS, связанную с отображением недоверенных данных на административных экранах WP Cerber.

Точные результаты в соответствии с GDPR. Экспорт и удаление персональных данных теперь сообщают об ошибках чтения журнала действий, а не ошибочно указывают на успешное выполнение.

Изменения в системе безопасности

Двухфакторная аутентификация обеспечивает важный уровень защиты в случае компрометации пароля учетной записи. В этом обновлении вводятся ограничения на количество запросов двухфакторной аутентификации и попыток ввода неверного PIN-кода для каждой учетной записи, что значительно усложняет повторные попытки угадать PIN-код.

Обновленная защита включает в себя несколько изменений:

Ограничения на уровне учетной записи. WP Cerber ограничивает частоту запросов на новую двухфакторную аутентификацию и количество допустимых неверных попыток ввода PIN-кода.

Временная блокировка учетной записи. При превышении лимитов WP Cerber блокирует новые входы в затронутую учетную запись на 24 часа и уведомляет владельца учетной записи о возможном взломе пароля.

Последовательное применение ограничений. Ограничения распространяются на все поддерживаемые способы входа в систему, а не только на стандартную форму входа в WordPress.

Существующие сессии остаются действительными. Блокировка учетной записи не прерывает сессии, которые уже прошли аутентификацию.

Более безопасная обработка ошибок. Если во время проверки двухфакторной аутентификации возникает критическая ошибка безопасности, WP Cerber отклоняет вход в систему, а не позволяет продолжить работу без двухфакторной аутентификации.

Отчеты по журналу активности. События блокировки учетных записей записываются в журнал активности, что помогает администраторам расследовать подозрительную активность при входе в систему.

Изменение пароля учетной записи не снимает активную блокировку. Администраторы, убедившиеся в безопасности учетной записи, могут восстановить доступ ранее с помощью WP-CLI.

Это первый этап нашей работы над этими мерами безопасности. В дальнейшем планируется улучшение обработки запросов на двухфакторную аутентификацию.

Улучшена защита пользовательских данных через REST API.

Параметр «Блокировать доступ к данным пользователей через REST API» помогает предотвратить публичный доступ к информации о пользователях WordPress.

Мы выявили и исправили несоответствие между тем, как WP Cerber проверял определенные запросы REST API, и тем, как WordPress их обрабатывал. При определенных условиях это могло позволить запросам обходить предусмотренные ограничения.

Теперь WP Cerber применяет защиту более согласованно ко всем поддерживаемым форматам запросов REST API. Мы также улучшили защиту для связанных маршрутов «приложение-пароль».

Существующие настройки продолжают работать как и прежде, при этом дополнительные средства защиты применяются автоматически при их включении. Никаких изменений в конфигурации не требуется.

Улучшена защита от скрытых XSS-атак на экранах администратора.

WP Cerber отображает информацию из внешних источников в нескольких разделах своего административного интерфейса. К таким данным следует относиться как к недостоверным, даже если они кажутся обычным текстом.

Мы исправили способ обработки и отображения некоторых внешних значений, устранив уязвимость межсайтовой скриптовой атаки (XSS) в затронутых административных окнах.

Обновленная обработка обеспечивает корректное экранирование вывода, благодаря чему ненадежные значения отображаются как текст, а не интерпретируются как исполняемое содержимое. Изменения затрагивают соответствующие экраны панели управления WP Cerber и интерфейсы Cerber.Hub.

Ранее кэшированные значения обрабатываются безопасно после обновления. Никаких дополнительных изменений в конфигурации не требуется.

Опыт работы администратором

Более понятная метка события блокировки учетной записи. Событие в журнале активности «Учетная запись временно заблокирована» теперь отображается как «Учетная запись временно заблокирована». Измененная формулировка описывает зарегистрированное событие, а не подразумевает, что учетная запись все еще заблокирована.

Улучшена диагностика в сводке пользователя. WP Cerber теперь регистрирует ошибки при получении записей о последнем входе в систему и данных активации BuddyPress, что упрощает определение причин отсутствия определенной информации в сводке пользователя.

Теперь при экспорте и удалении данных в соответствии с GDPR ошибки в журнале активности отображаются корректно.

Когда запрос к базе данных журнала активности завершается неудачей, WP Cerber может интерпретировать результат как пустой журнал, а не как ошибку базы данных. В процессе экспорта и удаления персональных данных в соответствии с GDPR это может привести к вводящим в заблуждение результатам.

Мы обновили интерфейс журнала активности, чтобы различать сбои базы данных и допустимые пустые результаты.

Теперь при экспорте персональных данных отображаются ошибки чтения журнала активности, а не ошибочное сообщение об отсутствии записи активности или преждевременное завершение экспорта.

Функция удаления персональных данных больше не сообщает об успешном завершении, если ошибка в базе данных журнала действий не позволяет WP Cerber проверить, были ли удалены соответствующие записи.

Для владельцев сайтов, обрабатывающих запросы на сохранение конфиденциальности, это различие имеет значение. Пустой результат и неудачный запрос к базе данных — это не одно и то же, и WP Cerber теперь сообщает об этом соответствующим образом.

Проверена совместимость

Данная версия была протестирована с PHP 7.4.33, 8.0.30, 8.1.34, 8.2.33, 8.3.33, 8.4.24 и 8.5.9, а также с WordPress 5.8.14, 6.6.6, 6.7.6, 6.8.7, 6.9.6 и 7.1.

Исправлены ошибки

Метки «Заблокировано» и «Запрещено» восстановлены на странице «Пользователи». Изменения в разметке столбца «Имя пользователя» в WordPress привели к тому, что наши правила CSS перестали соответствовать данным. Метки статуса и красная подсветка затронутых имен пользователей теперь отображаются корректно.

Некорректные запросы REST API больше не приводят к ошибкам HTTP 500. WP Cerber теперь обрабатывает неожиданные форматы параметров REST API без возникновения необработанной ошибки PHP. Такие запросы передаются в WordPress для обычной обработки, не раскрывая данные пользователя.