Luki we wtyczkach WordPress z ponad milionem instalacji

Badacze bezpieczeństwa z Wordfence i WebARX zidentyfikowali kilka niebezpiecznych luk w pięciu wtyczkach do systemu zarządzania treścią internetową WordPress, łącznie ponad milion instalacji.

• Słaby punkt we wtyczce Zgoda na pliki cookie RODO, który ma ponad 700 tysięcy instalacji. Problem ma stopień ważności 9 na 10 (CVSS). Luka umożliwia uwierzytelnionemu użytkownikowi posiadającemu uprawnienia subskrybenta usunięcie lub ukrycie (zmianę statusu na niepublikowaną wersję roboczą) dowolnej strony serwisu, a także zastąpienie na stronach własnych treści.
  Słaby punkt wyłączony w wersji 1.8.3.

• Słaby punkt we wtyczce ThemeGrill Importer demo, liczących ponad 200 tysięcy instalacji (odnotowano rzeczywiste ataki na strony, po których rozpoczęciu i pojawieniu się danych o podatności liczba instalacji spadła już do 100 tysięcy). Luka umożliwia nieuwierzytelnionemu odwiedzającemu wyczyszczenie zawartości bazy danych witryny i przywrócenie bazy danych do stanu nowej instalacji. Jeżeli w bazie danych znajduje się użytkownik o nazwie admin, to luka pozwala również na uzyskanie pełnej kontroli nad witryną. Luka wynika z niepowodzenia uwierzytelnienia użytkownika próbującego wydać uprzywilejowane polecenia za pomocą skryptu /wp-admin/admin-ajax.php. Problem został rozwiązany w wersji 1.6.2.
• Słaby punkt we wtyczce Dodatki do ThemeREX, wykorzystano w 44 tys. witryn. Problemowi przypisano poziom ważności 9.8 z 10. Luka umożliwia nieuwierzytelnionemu użytkownikowi wykonanie kodu PHP na serwerze i zastąpienie konta administratora witryny poprzez wysłanie specjalnego żądania za pośrednictwem REST-API.
  W sieci odnotowano już przypadki wykorzystania luki, jednak nie jest jeszcze dostępna aktualizacja zawierająca poprawkę. Użytkownikom zaleca się jak najszybsze usunięcie tej wtyczki.

• Słaby punkt we wtyczce wpCentral, liczącej 60 tys. instalacji. Problemowi przypisano poziom ważności 8.8 z 10. Luka umożliwia każdemu uwierzytelnionemu odwiedzającemu, w tym osobom z uprawnieniami subskrybenta, eskalację swoich uprawnień do administratora witryny lub uzyskanie dostępu do panelu sterowania wpCentral. Problem został rozwiązany w wersji 1.5.1.
• Słaby punkt we wtyczce Konstruktor profili, z około 65 tysiącami instalacji. Problemowi przypisano poziom ważności 10 na 10. Luka umożliwia nieuwierzytelnionemu użytkownikowi utworzenie konta z uprawnieniami administratora (wtyczka umożliwia tworzenie formularzy rejestracyjnych, a użytkownik może po prostu przekazać dodatkowe pole z rolą użytkownika, przypisując jest to poziom administratora). Problem został rozwiązany w wersji 3.1.1.

Ponadto można to zauważyć wykrycie sieci służące do dystrybucji wtyczek trojańskich i motywów WordPress. Napastnicy umieścili pirackie kopie płatnych wtyczek na fikcyjnych stronach z katalogami, po uprzednim zintegrowaniu z nimi backdoora w celu uzyskania zdalnego dostępu i pobrania poleceń z serwera sterującego. Po aktywacji złośliwy kod był używany do umieszczania złośliwych lub zwodniczych reklam (na przykład ostrzeżeń o konieczności zainstalowania programu antywirusowego lub aktualizacji przeglądarki), a także do optymalizacji wyszukiwarek w celu promowania witryn rozpowszechniających złośliwe wtyczki. Według wstępnych danych przy użyciu tych wtyczek zhakowano ponad 20 tysięcy witryn. Wśród ofiar znalazła się zdecentralizowana platforma wydobywcza, firma handlowa, bank, kilka dużych firm, twórca rozwiązań do płatności kartami kredytowymi, firmy IT itp.

Źródło: opennet.ru