Автоматизирана проверка за сигурност на WordPress вече ще оценява всяка нова версия на плъгин, преди тя да бъде разпространена чрез API за актуализации на WordPress.org. Версиите, които се считат за потенциален риск за сигурността, ще бъдат блокирани автоматично.
„Даден плъгин може да бъде сигурен днес и да въведе уязвимост или зловреден код в бъдеща версия. Досега нямаше последователна стъпка за преглед между качването на новата версия и достигането ѝ до милиони сайтове“, обясни Дейвид Перес, съръководител на екипа на официалния репозиторий за плъгини на WordPress.
Какво подтикна въвеждането на проверката за сигурност
На 28 юли автоматизираната проверка откри „задна врата“ (backdoor), добавена към версия на плъгин с около 20 000 активни инсталации. Системата присъди на тази версия висок резултат за риск за сигурността. Компрометираната версия все още беше в периода на изчакване и никога не е била разпространявана чрез API за актуализации на WordPress.org.
Екипът по плъгините спря възможността за изтегляне на плъгина 26 минути след като Wordfence съобщи на екипа за актуализацията.
Инцидентът показа, че резултат с висок риск трябва автоматично да спира разпространението, без да зависи от наличността на член от екипа.
Как работи проверката
На 5 юни беше въведен шестчасов период на изчакване за всяка нова версия на плъгин и тема. През този период версиите се задържат преди разпространението им чрез API за актуализации на WordPress.org, включително актуализациите с едно щракване от контролния панел на WordPress.
Няколко AI модела и Jetpack Scan анализират промените във всяка версия по време на периода на изчакване. Резултатите се съпоставят за подобряване на точността и намаляване на фалшивите аларми, след което се комбинират в констатации с краен резултат за сигурност. По-високият резултат показва по-висок потенциален риск за сигурността.
Ако дадена версия се счита за високорискова, тя се блокира автоматично. Всеки с права за качване на код в плъгина получава имейл с обяснение на констатациите. Версиите, които не се считат за високорискови, продължават по стандартния процес.
Високият резултат за риск не показва умисъл. Случаен проблем със сигурността може да получи същия резултат като умишлено добавен зловреден код. Оценката показва единствено нивото на риск за сигурността.
Авторите трябва да предприемат действия само ако получат имейл, уведомяващ ги, че тяхната версия е била блокирана. Липсата на имейл означава, че не се изискват действия.
Какво се случва, когато дадена версия бъде блокирана
Когато плъгин получи висок резултат за риск, новата версия няма да бъде разпространявана, докато проблемите не бъдат отстранени.
За да отблокират дадена версия, авторите първо трябва да прегледат докладваните констатации, за да установят какво е задействало блокирането. След това трябва да коригират уязвимостите и да публикуват нова версия. Ако новата версия получи оценка под прага за блокиране, тя ще премине през стандартния период на изчакване.
Авторите, които смятат, че дадена констатация е неправилна, могат да се свържат с екипа по плъгините. Екипът обработва голям обем от прегледи, така че публикуването на коригирана версия обикновено е по-бързо от чакането за ръчен преглед на обжалване.
Перес заяви, че екипът ще продължи да усъвършенства процеса с събирането на повече данни и коригирането на проверките си. Обратната връзка за фалшиви аларми ще помогне за увеличаване на точността на системата.