三個(gè)具有相同漏洞的插件使 84,000 個(gè)網(wǎng)站面臨風(fēng)險(xiǎn)發(fā)布日期：2022-02-23
最近研究人員發(fā)現(xiàn)了三個(gè)具有相同漏洞的插件，這些插件可能允許攻擊者更新易受攻擊網(wǎng)站上的任意網(wǎng)站選項(xiàng)并完全接管它。但是，利用該漏洞需要站點(diǎn)管理員采取一些措施。
2021 年 11 月 5 日wordpress做網(wǎng)站，威脅情報(bào)團(tuán)隊(duì)披露了研究人員在“登錄/彈出”插件中發(fā)現(xiàn)的一個(gè)漏洞。該公司的研究人員在周四發(fā)表的一篇文章中寫道，該插件已安裝在 20,000 多個(gè)網(wǎng)站上。
然而wordpress建站，幾天后，他們發(fā)現(xiàn)該漏洞也存在于同一開發(fā)公司的另外兩個(gè)插件中，即 .另外兩個(gè)插件是“Side Cart (Ajax)”，已安裝在 60,000 多個(gè)網(wǎng)站上，以及“(Back in stock)”，已安裝在 4,000 多個(gè)網(wǎng)站上。
“登錄/彈出”是一個(gè)簡(jiǎn)單輕量級(jí)的插件，根據(jù)其網(wǎng)站描述，簡(jiǎn)化了網(wǎng)站注冊(cè)、登錄和重置密碼的過程。 Side Cart 可以與創(chuàng)建電子商務(wù)商店的插件結(jié)合使用，該插件允許網(wǎng)站用戶從網(wǎng)站上的任何位置訪問他們放入購(gòu)物車的商品。此外，該插件還提供了跟蹤電子商務(wù)網(wǎng)站缺貨商品需求的功能。
據(jù)官方消息，截至目前wordpress插件漏洞，所有插件都已更新并修復(fù)了錯(cuò)誤。 11月24日，開發(fā)者發(fā)布了2.3版Login/Popup的補(bǔ)丁。后來，12 月 17 日，發(fā)布了 2.5. 2 的補(bǔ)丁版本；和 Side Cart 的修補(bǔ)版本，2.版本 1。
但由于該漏洞多次出現(xiàn)，這一現(xiàn)象也反映出插件一直存在可利用漏洞的問題。事實(shí)上，根據(jù)來自的數(shù)據(jù)，插件中的漏洞數(shù)量在 2021 年以三位數(shù)的速度迅速增加。
漏洞產(chǎn)生原理
研究人員寫道，團(tuán)隊(duì)發(fā)現(xiàn)的漏洞非常重要。他們說所有三個(gè)插件都注冊(cè)了一個(gè)函數(shù)，并且該函數(shù)是通過 .
在每個(gè)插件中，這個(gè)函數(shù)都缺少nonce檢查，這意味著插件不會(huì)驗(yàn)證請(qǐng)求的有效性。
研究人員寫道：“假設(shè)攻擊者可以發(fā)起請(qǐng)求、觸發(fā) AJAX 功能并執(zhí)行該功能。然而，利用此漏洞只需要網(wǎng)站管理員單擊鏈接或?yàn)g覽到網(wǎng)站，并且管理員將通過此目標(biāo)站點(diǎn)的身份驗(yàn)證。
在這些情況下，請(qǐng)求將被成功發(fā)送并觸發(fā)一系列事件，這將允許攻擊者修改網(wǎng)站上的任意選項(xiàng)，她在帖子中解釋道。
研究人員指出，利用任意選項(xiàng)更新漏洞是威脅行為者常用的攻擊手段，他們可以更新網(wǎng)站上的任何選項(xiàng)并最終接管服務(wù)器。
她解釋說，如果攻擊者將該選項(xiàng)設(shè)置為 true，則該選項(xiàng)將設(shè)置為 admin，以便他們可以在易受攻擊的站點(diǎn)上注冊(cè)為管理員。
漏洞和緩解措施帶來的風(fēng)險(xiǎn)
雖然在插件中發(fā)現(xiàn)的漏洞需要管理員采取行動(dòng)，從而降低它們被利用的可能性，但如果它們被利用，它們可能會(huì)產(chǎn)生重大影響。
因此，養(yǎng)成良好的安全習(xí)慣很重要，點(diǎn)擊鏈接或附件時(shí)要保持警惕wordpress插件漏洞，并確保插件和主題定期更新。
對(duì)這些插件用戶的建議是確保他們的網(wǎng)站更新到每個(gè)插件的最新修補(bǔ)版本。它們是 2.3 版本的“登錄/彈出窗口”、2.5.2 版本的“(Back in stock)”和2.版本的“Side Cart (Ajax)” @>1 個(gè)版本。
根據(jù)該帖子，所有用戶都已免受該漏洞的影響。高級(jí)用戶在 11 月 5 日更新了他們的防火墻規(guī)則，以防止針對(duì)其漏洞的任何攻擊，而仍在使用免費(fèi)版本的網(wǎng)站在 12 月 5 日獲得了相同的保護(hù)。
文章來自互聯(lián)網(wǎng)，侵權(quán)請(qǐng)聯(lián)系刪除，文章闡述觀點(diǎn)來自文章出處，并不代表本站觀點(diǎn)。
m.bjcthy.com
