WordPress Pingback ve Brotli Sıkıştırması RCE Açığı

WordPress pingback özelliği yıllardır bilinen bir saldırı yüzeyi olsa da, son araştırmalar Brotli sıkıştırması ile birleştiğinde çok daha tehlikeli bir RCE (Remote Code Execution) açığına dönüşebileceğini ortaya koydu.

Pingback, başka bir sitenin yazınızı linklemesini otomatik olarak bildiren mekanizmadır. Teoride zararsız görünse de, kötü niyetli aktörler bu özelliği istismar ederek hedef sunucuya istek yollamakta ve yanıtları analiz etmektedir. Brotli gibi modern sıkıştırma algoritmaları kullanıldığında, saldırgan sıkıştırılmış yanıtların boyutunu manipüle ederek zamanlama tabanlı saldırılar (timing attacks) veya içerik çıkarma (content inference) yöntemiyle hassas bilgileri elde edebilir.

Asıl risk, bu iki mekanizmanın birlikte çalışması sırasında ortaya çıkan mantık hatalarında yatıyor. WordPress'in pingback işlemi sırasında gelen veriyi doğru filtrelemesi veya çözmesi başarısız olursa, saldırgan özel olarak hazırlanmış bir pingback isteği göndererek sunucuda kod çalıştırtabilir. Özellikle eski WordPress sürümleri ve devre dışı bırakılmayan pingback özellikleri bu açığa karşı savunmasız.

Etkilenen sistemler genellikle varsayılan ayarlarla çalışan, güncellenmeyen veya ek güvenlik katmanı olmayan WordPress kurulumlarıdır. Saldırı için özel bir exploit yazılımı gerekse de, teknik bilgisi olan birisi bunu kolayca oluşturabilir.

Korunmak için pingback özelliğini devre dışı bırak (Settings > Discussion), WordPress ve eklentileri güncel tut, ve WAF (Web Application Firewall) gibi ek güvenlik katmanları kullan. Sunucu tarafında Brotli sıkıştırmasını dikkatli yapılandır veya gerekli değilse devre dışı bırak. Bu tür kombinasyon açıkları göz ardı etmek kolay, ancak bir kez istismar edildiğinde tüm sitenin kontrolü ele geçebilir.