Пользователи популярной системы управления контентом Wordpress столкнулись с очерденой проблемой, связанной с незакрытой уязвимостью. При помощи уязвимости потенциальные атакующие могут организовывать крупномасштабные DDoS-атаки. По данным компании Sucuri, в интернете уже около 162 тыс. сайтов используются в DDoS-атаках. Как рассказали в компании, выявленные ошибки ПО позволяют заставить Wordpress начать отправлять сотни пакетов в секунду по заданному адресу, что затрудняет доступа к веб-ресурсу. Атака опирается на проблему в модуле XML-RPC ("xmlrpc.php") в Wordpress. XML-RPC используется для служебного, сервисного или мобильного доступа к платформе. В Sucuri говорят, что сама по себе архитектура XML-RPC содержит ряд фундаментальных проблем, уже неоднократно с 2007 года проявлялись проблемы подобного рода. Дэниель Сид, технический директор Sucuri, говорит, что по умолчанию XML-RPC используется в современных версиях Wordpress и этот же инструмент позволяет организовать DDoS-атаку. Сид говорит, что большая часть Wordpress-сайтов использует систему кэширования в работе - то есть сервер не генерирует каждый раз с нуля веб-страницы для каждого клиента, а предлагает им кэш. Таким образом, XML-RPC вызывается не всегда, а лишь периодически, что несколько снижает эффективность атаки, но не ликвидирует опасность для самого веб-сайта. Для временного устранения уязвимости, рекомендуется добавить фильтр для метода "pingback.ping" в используемой Wordpress-теме.
Подробности