Các nhà nghiên cứu phát hiện hoạt động khai thác khoáng sản plugin WordPress

Các nhà nghiên cứu an ninh mạng đã cảnh báo rằng nhiều lỗ hổng bảo mật có mức độ nghiêm trọng cao trong plugin WordPress đang bị các tác nhân đe dọa tích cực khai thác để tạo tài khoản quản trị viên lừa đảo nhằm mục đích khai thác tiếp theo.

Các nhà nghiên cứu Simran Khalsa, Xavier Stevens của Fastly cho biết: “Những lỗ hổng này được tìm thấy trong nhiều plugin WordPress khác nhau và dễ bị tấn công bằng tập lệnh chéo trang (XSS) được lưu trữ không được xác thực do quá trình dọn dẹp đầu vào và thoát đầu ra không đầy đủ, khiến kẻ tấn công có thể tiêm các tập lệnh độc hại”. , và Matthew Mathur nói.

Các lỗi bảo mật được đề cập được liệt kê dưới đây -

CVE-2023-6961 (điểm CVSS: 7.2) - Tập lệnh chéo trang được lưu trữ không được xác thực trong WP Meta SEO <= 4.5.12

CVE-2023-40000 (điểm CVSS: 8.3) - Tập lệnh chéo trang được lưu trữ không được xác thực trong LiteSpeed ​​Cache <= 5.7

CVE-2024-2194 (điểm CVSS: 7.2) - Tập lệnh chéo trang được lưu trữ không được xác thực trong WP Stats <= 14.5

Chuỗi tấn công khai thác lỗ hổng liên quan đến việc chèn một tải trọng trỏ đến tệp JavaScript bị xáo trộn được lưu trữ trên một miền bên ngoài, chịu trách nhiệm tạo tài khoản quản trị viên mới, chèn cửa hậu và thiết lập tập lệnh theo dõi.

Các cửa hậu PHP được đưa vào cả tệp plugin và chủ đề, trong khi tập lệnh theo dõi được thiết kế để gửi yêu cầu HTTP GET chứa thông tin máy chủ HTTP đến máy chủ từ xa ("ur.mystiqueapi[.]com/?ur").

Fastly cho biết họ đã phát hiện một tỷ lệ đáng kể các nỗ lực khai thác bắt nguồn từ các địa chỉ IP được liên kết với Autonomous System (AS) IP Volume Inc. (AS202425), trong đó một phần đến từ Hà Lan.

Lỗ hổng plugin WordPress

Điều đáng chú ý là công ty bảo mật WordPress WPScan trước đây đã tiết lộ các nỗ lực tấn công tương tự nhắm vào CVE-2023-40000 để tạo tài khoản quản trị viên lừa đảo trên các trang web nhạy cảm.

Để giảm thiểu rủi ro do các cuộc tấn công như vậy gây ra, chủ sở hữu trang web WordPress nên xem lại các plugin đã cài đặt của họ, áp dụng các bản cập nhật mới nhất và kiểm tra trang web để tìm dấu hiệu phần mềm độc hại hoặc sự hiện diện của người dùng quản trị viên đáng ngờ.

Hương – Theo TheHackerNews