무료 또는 유료 버전의 정말 간단한 보안(이전의 정말 간단한 SSL)을 사용하여 워드프레스로 만든 최소 4,000,000개의 페이지가 심각한 인증 우회 취약점의 영향을 받았습니다.
자세한 내용은 워드팬스 블로그의 István Márton이 작성한 이 글에서 확인할 수 있습니다.
플러그인 9.1.2 버전에서 이미 완전히 수정된 이 취약점은 워드프레스 보안 제공업체로서 12년 동안 보고한 취약점 중 가장 심각한 취약점 중 하나라고 워드펜스가 발견했습니다. 이 취약점은 4백만 개 이상의 페이지에 설치된 Really Simple Security 플러그인(이전에는 Really Simple SSL)에 영향을 미치며 공격자가 원격으로 플러그인을 실행하는 사이트에 대한 전체 관리자 액세스 권한을 얻을 수 있게 해줍니다.
플러그인 버전 9.0.0.0~9.1.1.1.1에 영향을 미치는 이 인증 우회 취약점으로 인해 공격자는 특정 2FA 구성에 대한 인증을 우회할 수 있습니다.
이 플러그인은 HTTPS를 활성화하기 위해 오랫동안 대량으로 설치되었지만 이후 다른 보안 관련 기능이 추가되었고, 2021년 워드프레스 5.7 버전에 클릭 한 번으로 HTTP에서 HTTPS로 전환하는 기본 옵션이 도입되면서 많은 워드프레스 설치에서 여전히 많은 Really Simple SSL 설치가 활성화되어 있습니다.
플러그인을 주기적으로 검토하여 더 이상 필요하지 않거나 간단한 기능을 가진 애드온의 경우 직접 추가한 스니펫이나 기능으로 대체할 수 있는 플러그인은 삭제하는 것이 좋습니다.
Wordfence에서 권장하는 대로, 이 취약점은 심각한 위험을 초래할 수 있으므로 이러한 플러그인을 사용하는 모든 지인에게 경고를 공유하여 가능한 한 빨리 업데이트하도록 하는 것이 좋습니다.
개발자는 이미 어제 출시된 버전 9.1.2에 대한 업데이트와 취약점을 패치하고 수정한 내용을 모든 Really Simple Security 사용자(무료 및 프로)에게 우편으로 알려드렸습니다.
