WordPress 7.1.3 แก้ช่องโหว่ 7 จุด แนะนำอัปเดตทันที
ผู้ดูแลเว็บไซต์ WordPress ควรสำรองข้อมูลและอัปเดตเป็น 7.1.3 ทันทีตามคำแนะนำในประกาศ
1-minute summary
- Symptom / problem
- ช่องโหว่ครอบคลุม XSS, DoS, SQL injection การข้ามข้อจำกัดสิทธิ์ และการเปิดเผยข้อมูลความคิดเห็น
- Who should read
- ผู้ดูแลเว็บไซต์ WordPress ต้องตรวจรุ่นที่ใช้งาน โดยประกาศไม่ได้แจกแจงช่วงรุ่นที่กระทบแยกตามช่องโหว่
- Fix in short
- อัปเดตเป็น WordPress 7.1.3 ผ่าน Dashboard และตรวจผลหลังอัปเดต ส่วนสายเก่าให้ตรวจแพตช์ backport ที่ออกจริง
พอดีไล่ฟีดความปลอดภัยเจอ WordPress ออก 7.1.3 เป็นรุ่น Maintenance and Security Release ที่รวมการแก้ช่องโหว่ 7 จุดกับบั๊กอีก 4 จุดไว้ด้วยกัน ประกาศแนะนำให้ผู้ดูแลอัปเดตเว็บไซต์ทันที เพราะมีทั้งปัญหาในหน้าผู้ดูแล การเข้าถึงข้อมูล และการบังคับใช้สิทธิ์ของบัญชีผู้ใช้
เกิดอะไรขึ้น
รายการแรกคือ stored XSS บนหน้าจัดการ Comments ผ่านความคิดเห็นที่รออนุมัติ ข้อมูลที่เก็บไว้ในความคิดเห็นอาจกลายเป็นสคริปต์เมื่อแสดงผล อีกจุดเป็น XSS ในเนื้อหาที่ฝังจาก Imgur ประกาศแยกสองจุดนี้เป็นคนละรายการ
ยังมี DoS ในเมธอด WP_Http::make_absolute_url() หรือปัญหาที่อาจกระทบความพร้อมใช้งาน และ second-order SQL injection ในส่วนส่งออกข้อมูล WordPress แบบ WXR คำว่า second-order หมายถึงข้อมูลอันตรายอาจถูกเก็บไว้ก่อน แล้วค่อยถูกนำไปใช้ในคำสั่งฐานข้อมูลภายหลัง ประกาศไม่ได้ให้รายละเอียดเงื่อนไขครบพอที่จะสรุปว่าผู้โจมตีต้องมีสิทธิ์ระดับใดในสองกรณีนี้
ด้านสิทธิ์ บัญชี Author อาจปักหมุดโพสต์ได้ทั้งที่ไม่ควรทำได้ ส่วนด้านข้อมูล ผู้ที่ยังไม่ล็อกอินอาจอ่านความคิดเห็นของโพสต์ส่วนตัวหรือโพสต์ที่ยังไม่เผยแพร่ได้ รายการสุดท้ายคือพารามิเตอร์ที่ส่งให้ hook {status}_{type} ปลอมแปลงได้ ทำให้ชื่อ action ชนกัน ประกาศไม่ได้อธิบายผลกระทบต่อจากนั้น
ประกาศนี้ไม่ระบุ CVE ID ระดับความรุนแรง หรือคะแนน CVSS และไม่ได้ยืนยันว่ามีการโจมตีจริง การไม่มีข้อมูลเหล่านี้ไม่ได้เปลี่ยนคำแนะนำของผู้พัฒนาที่ให้ติดตั้งแพตช์ทันที
ใครโดนและรุ่นที่แก้
ผู้ดูแล WordPress ควรตรวจรุ่นของแต่ละเว็บไซต์ก่อนลงมือ โดยประกาศระบุรุ่นแก้หลักเป็น 7.1.3 แต่ไม่ได้แจกแจงรุ่นเริ่มต้นที่ได้รับผลกระทบของช่องโหว่แต่ละรายการ ข้อมูลที่ยืนยันได้มีดังนี้
| สายรุ่น / ส่วนประกอบ | รุ่นที่แก้และสถานะตามประกาศ |
|---|---|
| WordPress สาย 7.1 | 7.1.3 |
| สายเก่าที่เข้าเกณฑ์รับแพตช์ความปลอดภัย ย้อนถึง 4.7 | อยู่ระหว่าง backport ตามความจำเป็น ไม่ระบุเลขรุ่นแก้รายสาย |
WordPress ย้ำว่ามีเพียงรุ่นล่าสุดที่ได้รับการสนับสนุนอย่างต่อเนื่อง ส่วนแพตช์ย้อนหลังจะออกเมื่อพร้อม การกล่าวถึงสาย 4.7 เลยไม่ใช่คำยืนยันว่าทุกรุ่นตั้งแต่สายนั้นมีแพตช์ครบแล้ว หรือว่าทุกช่องโหว่กระทบทุกรุ่นเหมือนกัน
ต้องทำอะไร
สำรองฐานข้อมูลและไฟล์เว็บไซต์ก่อน พร้อมตรวจว่ามีวิธีกู้คืนที่ใช้งานได้ จากนั้นเข้า WordPress Dashboard เลือก “Updates” แล้วกด “Update Now” หรือดาวน์โหลดรุ่น 7.1.3 จาก WordPress.org ตามช่องทางที่ประกาศให้ไว้ เว็บไซต์ที่รองรับการอัปเดตเบื้องหลังอัตโนมัติจะเริ่มกระบวนการเอง แต่ผู้ดูแลควรเปิดตรวจเลขรุ่นหลังจบงานเพื่อยืนยันผล
หลังอัปเดต แนะนำให้ทดสอบหน้าเว็บ การเข้าสู่ระบบ หน้าจัดการความคิดเห็น และงานส่งออกข้อมูล ตรวจข้อผิดพลาดและการทำงานร่วมกับธีมหรือปลั๊กอิน หากมีหลายเว็บไซต์ให้บันทึกรุ่นก่อนและหลังอัปเดตแยกแต่ละแห่งเพื่อป้องกันการตกหล่น
ประกาศไม่ได้ให้ workaround ทดแทนแพตช์ และแพตช์ backport ยังทยอยออก ผู้ที่ต้องคงสายเก่าควรตรวจเลขรุ่นแก้ที่ออกจริงก่อนสรุปว่าปลอดภัยแล้ว
ส่วนตัวผมแนะนำให้จัดงานนี้เป็นแพตช์เร่งด่วน สำรองข้อมูลแล้วอัปเดตทันทีตามคำแนะนำของ WordPress โดยเผื่อเวลาตรวจการทำงานหลังติดตั้งด้วย ที่มา: WordPress 7.1.3 Maintenance and Security Release หากประกาศเพิ่มรายละเอียดเลขรุ่นย้อนหลังหรือข้อมูลช่องโหว่ เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first