Kui loed kuskilt, et “selles pluginas avastati kriitiline CVE”, siis esimene reaktsioon on tavaliselt üsna lihtne - kas mul on jama majas või ei ole? Ausalt öeldes on see väga normaalne küsimus. Aga vastus ei tule ainult sellest, kas plugin on sul paigaldatud. Loeb ka versioon. Ja päris tihti loeb ka see, kuidas või kus pluginat kasutatakse.
Nii et kui sul on WordPressi koduleht või e-pood, siis siin on lihtne viis aru saada, kas konkreetne turvaauk puudutab just sinu lehte või mitte.
Mis asi see CVE üldse on?
CVE on lühidalt avalik kirje teadaoleva turvanõrkuse kohta. Ehk keegi avastab vea, sellele antakse tähis ja siis hakkavad tulema teated stiilis “uuenda kohe”. See kõlab dramaatiliselt, aga tegelikult on point selles, et saaksid kiiresti kontrollida, kas probleem puudutab sind.
Vaata, ainult pealkirjast ei piisa. “Plugin X kriitiline turvaauk” ei tähenda automaatselt, et sinu leht on ohus. Mõnikord mõjutab see ainult vanemaid versioone. Mõnikord ainult siis, kui mingi moodul on aktiivselt kasutusel. Mõnikord ainult teatud setup puhul.
Esimene kontroll - kas see plugin on sul üldse olemas?
See kõlab liiga lihtslt, aga päris tihti jäetakse just see samm vahele. Inimene loeb uudist, läheb närvi, aga pole isegi kindel, kas plugin on tema lehel olemas või oli see kunagi testiks paigaldatud ja ammu kustutatud.
Mine WordPressi haldusesse ja vaata:
- Plugins - Installed Plugins
- kas plugin on aktiivne
- kas plugin on mitteaktiivne, aga endiselt paigaldatud
- kas sama plugin on mõne teise nime all Pro-versioonina
Seejuures oluline detail - ka mitteaktiivne plugin võib mõnel juhul olla risk, kui failid on serveris alles ja haavatavus puudutab otsest faili ligipääsu. Nii et “deactivated” ei tähenda alati “ohutu”.
Teine kontroll - mis versioon sul on?
See on kõige olulisem osa. Enamik CVE teateid ütleb üsna konkreetselt, millised versioonid on haavatavad. Näiteks:
- kõik versioonid kuni 2.4.1
- versioonid 3.1.0 kuni 3.1.7
- ainult 1.9.5 Pro haru
Kui sinu plugin on näiteks 2.4.3 ja teade ütleb “kuni 2.4.1”, siis suure tõenäosusega see konkreetne CVE sind ei puuduta. Kui sul on 2.4.0, siis puudutab küll. Väike number, suur vahe.
Praktikas näeb see välja nii:
- Ava pluginate nimekiri WordPressis
- Leia plugina nimi
- Vaata versiooninumbrit
- Võrdle seda CVE kirjelduse või turvauudisega
Kui vajad tausta selle kohta, miks update edasi lükkamine halb mõte on, siis loe ka artiklit Miks WordPressi uuendusi ei tohi edasi lükata. Seal on see lahti seletatud ilma liigse tehnikata.
Kolmas kontroll - kas haavatav funktsioon on sinu lehel üldse kasutuses?
Siin lähevad asjad veidi täpsemaks. Kõik CVE-d ei puuduta kogu pluginat ühtemoodi. Mõni auk on seotud ainult kindla funktsiooniga - näiteks faili üleslaadimine, avalik vorm, API endpoint või admin-paneeli kindel osa.
Näiteks kui turvaauk puudutab avalikku vormi, aga sa kasutad pluginat ainult adminis andmete eksportimiseks, siis risk võib olla väiksem või olematu. Samas kui see vorm on su avalehel kõigile nähtav, siis on moment hoopis teine.
Küsi enda käest need 4 asja:
- Kas see plugina funktsioon on minu lehel sisse lülitatud?
- Kas see on avalikult külastajatele kättesaadav?
- Kas see töötab ainult sisselogitud kasutajatele või kõigile?
- Kas see on seotud faili üleslaadimise, vormide või kasutajakontodega?
Üldiselt just avalikult kättesaadavad funktsioonid on need, mida ründajad automaatselt skännivad. E-poes tähendab see tihti checkouti lisasid, kontaktivorme, popupeid, page builderi vidinaid ja igasugu “nutikaid” lisamooduleid.
Asukoht loeb ka - kus plugin jookseb ja kuidas failid on paigas
Asi on selles, et “asukoht” ei tähenda ainult menüü asukohta WordPressis. See tähendab ka seda, kus fail või funktsioon reaalselt kasutuses on. Kui haavatav komponent on näiteks ainult ühes maandumislehes või peidetud testilehel, on mõju teine kui siis, kui sama asi on kogu saidi layout sees.
Samuti loeb serveri pool. Kui failiõigused on valed, võib väiksemast august saada palju suurem probleem. Kui see teema on sulle uus, siis vaata artiklit Failiõigused WordPressis: millal 775 muutub vaikseks tagauksseks. See aitab aru saada, miks mõni “pisiasi” võib päriselt valusaks minna.
Samas, kui plugin on olemas ainult vanal alamlehel või arenduskeskkonnas, mida sa isegi enam ei kasuta, ei tähenda see et võid seda ignoreerida. Ka unustatud koopiad saavad üsna sageli rünnakuid.
Kust kontrollida, mida CVE tegelikult ütleb?
Sa ei pea olema arendaja, et õiget infot kätte saada. Aga ära piirdu ainult Facebooki postituse või ehmatava pealkirjaga. Otsi välja detailid.
Vaata neid asju:
- plugina täpne nimi
- mõjutatud versioonid
- kas tegu on Free või Pro variandiga
- kas rünnak vajab sisselogimist või mitte
- kas tootja on paranduse juba välja andnud
Kui sa neid viit asja ei tea, siis sa tegelikult veel ei tea, kas sinu leht on ohus. Okei, mure võib olla põhjendatud, aga kontroll tuleb lõpuni teha.
Mida teha, kui tundub, et see puudutab sinu lehte?
Siin ei ole vaja pikka filosoofiat. Tee need sammud ära kohe, mitte “õhtul kui aega tekib”.
- Tee backup
- Uuenda plugin turvalisele versioonile
- Kui parandust veel pole, lülita plugin ajutiselt välja
- Kontrolli, kas saidil on kahtlast käitumist - suunamised, uued adminid, tundmatud failid
- Vaheta vajadusel seotud kasutajate paroolid
Kui sa ei taha iga CVE uudise peale käsitsi uurimist teha, siis mõistlik lahendus on kasutada haavatavuste kontrolli, mis aitab avalikke pluginanõrkusi kiiremini märgata. Väikeettevõtte jaoks on see päris hea ajasääst, sest käsitsi googeldamine võtab omajagu aega ja närve.
Aga kui sa ei ole kindel?
See on tegelikult kõige tavalisem olukord. Plugin on olemas, versioon nagu klapib, aga sa ei saa aru, kas haavatav funktsioon on sinu lehel kasutusel. Või kas probleem võis juba ära kasutada olla.
Sellisel juhul ära jää “vist on okei” peale istuma. Päris tihti on just see koht, kus väike probleem venib suureks. Kui tahad, et keegi vaataks lehe regulaarselt üle, teeks updated, kontrolliks turvaseisu ja reageeriks kiiremini, siis mõistlik variant on WordPressi hooldusteenus.
See ei ole ainult mugavus. See on üsna sageli odavam kui pärast häkki koristada, taastada ja klientidele selgitada, miks e-pood maas oli.
Lihtne näide päriselust
Oletame, et sul on väike e-pood. Loed uudist, et vormi- või builder-pluginas on kriitiline auk.
Kontroll käib nii:
- kas plugin on paigaldatud - jah
- kas versioon on haavatav - jah, sul on vanem versioon
- kas probleem puudutab avalikku faili üleslaadimist - jah
- kas sul on see vorm avalikult kasutusel - jah, näiteks hinnapäringu lehel
Siis vastus on lihtne: see CVE puudutab sind küll. Mitte teoreetiliselt, vaid päriselt. Tegelikult siin pole enam mõtet pikalt arutada, vaid tuleb reageerida kohe.
Kuidas endale lihtsam süsteem teha
Kui sul on üksainus leht, siis veel kuidagi jõuab kõike käsitsi jälgida. Kui on mitu veebilehte, e-pood, kampaanialehed ja erinevad pluginad, siis läheb asi kiirelt segaseks.
Tee endale minimaalne rutiin:
- hoia pluginad ja teemad uuendatud
- kustuta kasutamata pluginad päriselt ära
- tee regulaarsed backupid
- vaata kord nädalas üle turvateated ja updated
- piira lisapluginate hulka ainult vajalikuni
See pole mingi ideaalne “enterprise” turvamudel. Aga väikese Eesti ettevõtte jaoks on see juba väga normaalne baas. Ja ausalt, enamasti just sellest piisab, et suurem osa jamasid eos ära hoida.
Lõppjäreldus on tegelikult lihtne
Kui plugin CVE kohta uudis tuleb, siis ära küsi ainult “kas mul on see plugin?”. Küsi kolm asja korraga - kas plugin on olemas, mis versioon mul on, ja kas see haavatav osa on minu lehel kasutuses. See ongi kogu loogika.
Kui vastused on udused, kontrolli kohe. Kui aega ei ole, lase kellelgi teisel vaadata. Sest CVE ei ole lihtsalt järjekordne tehniline lühend. Mõnikord on see varajane hoiatus enne suuremat jama. Ja parem on reageerida enne, kui klient ütleb, et su leht suunab kuhugi kasiinosse või brauser kuvab punast hoiatust. See pole naljakas, isegi kui alguses tundub väike asi.