Aktualny WordPress to nie wszystko. Krytyczna luka może znajdować się w bibliotece serwera

Bezpieczeństwo strony internetowej nie kończy się na aktualizacji WordPress, wtyczek i motywu.

Dobrym przykładem jest krytyczna podatność wykryta w bibliotece libheif, która na wielu serwerach uczestniczy w przetwarzaniu obrazów HEIC i HEIF, czyli między innymi zdjęć wykonywanych urządzeniami Apple.

Podatność otrzymała ocenę CVSS 9.8. Odpowiednio przygotowany plik może doprowadzić do uszkodzenia pamięci, a w określonej konfiguracji serwera badaczom udało się również potwierdzić możliwość odczytu chronionych plików oraz wykonania kodu.

Co istotne, problem nie znajduje się w samym WordPressie. Może występować w bibliotece systemowej wykorzystywanej przez Imagick i ImageMagick podczas obróbki przesyłanych zdjęć.

Oznacza to, że nawet w pełni aktualny CMS może korzystać z podatnego komponentu znajdującego się znacznie niżej w stosie technologicznym.

Pełną analizę podatności, warunki jej występowania oraz znaczenie dla środowisk WordPress opisaliśmy na blogu Artixen Protect.