I ricercatori della sicurezza delle aziende Wordfence e WebARX hanno identificato diverse vulnerabilità critiche in cinque plugin per il sistema di gestione dei contenuti web WordPress, che nel complesso contano oltre un milione di installazioni.
- nel plugin , che ha più di 700 mila installazioni. Alla vulnerabilità è stato attribuito un livello di pericolo di 9 su 10 (CVSS). La vulnerabilità consente a un utente autenticato con diritti di abbonato di eliminare o nascondere (cambiare lo stato in bozza non pubblicata) qualsiasi pagina del sito e di sostituire il proprio contenuto sulle pagine.
Vulnerabilità nella versione 1.8.3. - nel plugin , con oltre 200 mila installazioni (sono state registrate vere e proprie attacchi ai siti, dopo i quali il numero di installazioni è già diminuito a 100 mila). La vulnerabilità consente a un visitatore non autenticato di cancellare il contenuto del database del sito e ripristinarlo a uno stato di nuova installazione. Se nel database è presente un utente con il nome admin, la vulnerabilità consente anche di ottenere il pieno controllo sul sito. La vulnerabilità è causata da un errore nel tentativo di autenticare un utente che sta cercando di inviare comandi privilegiati tramite lo script /wp-admin/admin-ajax.php. Il problema è stato risolto nella versione 1.6.2.
- nel plugin , utilizzato su 44 mila siti. Alla vulnerabilità è stato attribuito un livello di pericolo di 9,8 su 10. La vulnerabilità consente a un utente non autenticato di eseguire il proprio codice PHP sul server e di sostituire l'account dell'amministratore del sito inviando una richiesta speciale tramite REST-API.
Nel network sono già stati registrati casi di sfruttamento della vulnerabilità, ma l'aggiornamento con la correzione non è ancora disponibile. Si consiglia agli utenti di rimuovere il plugin il prima possibile. - nel plugin , con 60 mila installazioni. Alla vulnerabilità è stato attribuito un livello di pericolo di 8,8 su 10. La vulnerabilità consente a qualsiasi visitatore autenticato, incluso chi ha diritti di abbonato, di aumentare i propri privilegi a quelli di amministratore del sito o di accedere al pannello di controllo di wpCentral. Il problema è stato risolto nella versione 1.5.1.
- nel plugin , che conta circa 65.000 installazioni. Il problema ha ricevuto un livello di gravità di 10 su 10. La vulnerabilità consente a un utente non autenticato di creare un account con diritti di amministratore (il plugin permette di creare moduli di registrazione e l'utente può semplicemente inviare un campo aggiuntivo con il ruolo dell'utente, assegnandogli il livello di amministratore). Il problema è stato risolto nella versione 3.1.1.
Inoltre, si può notare reti per la distribuzione di plugin trojan e temi per WordPress. Gli aggressori caricavano copie pirata di plugin a pagamento su siti catalogo falsi, integrando in essi un backdoor per ottenere accesso remoto e scaricare comandi da un server di controllo. Dopo l'attivazione, il codice dannoso veniva utilizzato per inserire pubblicità dannose o ingannevoli (ad esempio, avvisi per installare un antivirus o aggiornare il browser) e per ottimizzazione dei motori di ricerca per promuovere siti che distribuiscono plugin dannosi. Secondo dati preliminari, oltre 20.000 siti sono stati compromessi utilizzando questi plugin. Tra le vittime ci sono una piattaforma di mining decentralizzata, una società di trading, una banca, diverse grandi aziende, uno sviluppatore di soluzioni per pagamenti con carta di credito, aziende IT, ecc.
Fonte: opennet.ru
