【漏洞公告】WordPress 未授权远程代码执行漏洞

转载   阿里云公告  2017-05-05 14:28:13  110 人阅读  4 条评论

投放广告联系   诚邀合作伙伴   赞助我们   公告栏   赞助光荣榜

摘要:

刚才收到阿里云的信息告知说:阿里云云盾检测到您云服务器部署的wordpress软件可能存在远程代码执行漏洞,为了确保您在阿里云上的业务可用和安全,防止您的业务数据被删除勒索或服务器被入侵类型事件发生,建议您升级wordpress到最新版本。具体漏洞相关情况如下:

2017年5月3日,开源 CMS 软件 WordPress 被曝出多个漏洞,其中一个高危漏洞可以远程执行任意代码,从而获取服务权限。具体详情如下:

漏洞编号:CVE-2016-10033

漏洞名称:WordPress 未授权远程代码执行漏洞

官方评级:高危

漏洞描述:该漏洞存在于广泛使用的PHPMailer mail()函数功能,远程攻击者利用默认开启的PHPMailer可以运行构造的恶意代码,无需登录触发该漏洞,从而导致获取系统权限。

漏洞利用条件和方式:系统必须要安装Exim4环境下,远程攻击者可以直接利用该漏洞攻击成功。

漏洞影响范围:

  • WordPress <4.7.1
  • PHPMailer <5.2.20

漏洞检测:

  • 检查WordPress是否在受影响版本内
  • 检查PHPMailer版本:打开wordpress/wp-includes/class-phpmailer.php文件查看对应的PHPMailer版本。

【漏洞公告】WordPress 未授权远程代码执行漏洞 最新资讯 第1张

漏洞修复建议(或缓解措施):

  • 目前已经公开了POC,官方公告已经宣称在4.7.1版本已经修复该漏洞,建议用户尽快升级到最新版4.7.4 ,升级方案参见WordPress官方帮助文档;
  • 如果您使用Apache 可以指定ServerName 为您网站域名,同时启用Apache的UseCanonicalName功能,以避免该漏洞带来的风险;UseCanonicalName On
  • Web中间件为Nginx的系统不受此漏洞影响。

情报来源:

文章标签: ,   ,  
原文地址:https://help.aliyun.com/knowledge_detail/53116.html
温馨提示:文章内容仅代表作者个人观点,不代表boke112导航赞同其观点和对其真实性负责!
版权声明:本文为转载文章,来源于 阿里云公告 ,版权归原作者所有,欢迎分享本文,转载请保留出处!
WordPress/zblogPHP免费响应式博客主题Blogs

 发表评论


  1. 97微信头像网
    97微信头像网 【尚书】 @回复

    围观 吓死宝宝了

  2. 小萝博客
    小萝博客 【状元】 @回复

    看来官方更新还是有道理的

  3. 雅兮网
    雅兮网 【尚书】 @回复

    WordPress更新不是闲得无聊,肯定有升级才会推送新版本的,已更