פגיעויות בתוספי וורדפרס עם למעלה ממיליון התקנות

חוקרי אבטחה מ-Wordfence ו-WebARX זיהו מספר נקודות תורפה מסוכנות בחמישה תוספים עבור מערכת ניהול התוכן האינטרנטי של וורדפרס, הכוללים יותר ממיליון התקנות.

• פגיעות בתוסף הסכמת עוגיות GDPR, שיש לה יותר מ-700 אלף התקנות. הנושא מדורג בדרגת חומרה 9 מתוך 10 (CVSS). הפגיעות מאפשרת למשתמש מאומת בעל זכויות מנוי למחוק או להסתיר (לשנות את הסטטוס לטיוטה לא פורסמה) כל עמוד באתר, כמו גם להחליף את התוכן שלו בדפים.
  פגיעות חוסלו במהדורה 1.8.3.

• פגיעות בתוסף יבוא הדגמה של ThemeGrill, המונה יותר מ-200 אלף התקנות (נרשמו התקפות אמיתיות על אתרים, שלאחר תחילתן והופעת נתונים על הפגיעות, מספר ההתקנות כבר ירד ל-100 אלף). הפגיעות מאפשרת למבקר לא מאומת לנקות את תוכן מסד הנתונים של האתר ולאפס את מסד הנתונים למצב התקנה חדש. אם יש משתמש בשם admin במסד הנתונים, אז הפגיעות גם מאפשרת לך לקבל שליטה מלאה על האתר. הפגיעות נגרמת כתוצאה מכשל באימות משתמש המנסה להנפיק פקודות מורשות באמצעות הסקריפט /wp-admin/admin-ajax.php. הבעיה תוקנה בגרסה 1.6.2.
• פגיעות בתוסף ThemeREX תוספות, בשימוש ב-44 אלף אתרים. לבעיה מוקצית רמת חומרה של 9.8 מתוך 10. הפגיעות מאפשרת למשתמש לא מאומת להפעיל את קוד ה-PHP שלו בשרת ולהחליף את חשבון מנהל האתר על ידי שליחת בקשה מיוחדת דרך REST-API.
  מקרים של ניצול הפגיעות כבר נרשמו ברשת, אך עדיין לא קיים עדכון עם תיקון. מומלץ למשתמשים להסיר את התוסף הזה במהירות האפשרית.

• פגיעות בתוסף wpCentral, המונה 60 אלף מתקנים. לבעיה הוקצתה רמת חומרה של 8.8 מתוך 10. הפגיעות מאפשרת לכל מבקר מאומת, כולל בעלי זכויות מנוי, להסלים את ההרשאות שלו למנהל האתר או לקבל גישה ללוח הבקרה של wpCentral. הבעיה תוקנה בגרסה 1.5.1.
• פגיעות בתוסף בונה פרופילים, עם כ-65 אלף התקנות. לבעיה מוקצית רמת חומרה של 10 מתוך 10. הפגיעות מאפשרת למשתמש לא מאומת ליצור חשבון עם זכויות מנהל (התוסף מאפשר ליצור טפסי הרשמה והמשתמש יכול פשוט להעביר שדה נוסף עם תפקיד המשתמש, להקצות זה רמת המנהל). הבעיה תוקנה בגרסה 3.1.1.

בנוסף, ניתן לציין זיהוי רשתות להפצת תוספים טרויאניים וערכות נושא וורדפרס. התוקפים הציבו עותקים פיראטיים של תוספים בתשלום באתרי ספריות פיקטיביים, לאחר ששילבו בהם בעבר דלת אחורית כדי לקבל גישה מרחוק ולהוריד פקודות משרת הבקרה. לאחר ההפעלה, נעשה שימוש בקוד הזדוני להוספת פרסום זדוני או מטעה (לדוגמה, אזהרות לגבי הצורך להתקין אנטי וירוס או לעדכן את הדפדפן), וכן עבור אופטימיזציה למנועי חיפוש לקידום אתרים שמפיצים תוספים זדוניים. על פי נתונים ראשוניים, יותר מ-20 אלף אתרים נפרצו באמצעות תוספים אלו. בין הנפגעים היו פלטפורמת כרייה מבוזרת, חברת מסחר, בנק, מספר חברות גדולות, מפתחת פתרונות לתשלומים באמצעות כרטיסי אשראי, חברות IT וכו'.

מקור: OpenNet.ru