Phát hiện plugin giả mạo và lỗ hổng zero-day bên trong Wordpress

Các chuyên gia bảo mật vừa phát hiện một backdoor là WP-SpamShield Anti-Spam, một công cụ khá phổ biến được thiết kế để chống lại thư rác. Trong khi đó ba lỗ hổng zero-day đang được khai thác và được các nhà phân tích bảo mật tại Wordpress theo dõi.

Được biết Backdoor có thể vô hiệu hóa công cụ bảo mật, ăn cắp dữ liệu và thêm một tài khoản quản trị ẩn. Các nhà nghiên cứu bảo mật đã phát hiện ra rằng Plugin giả mạo có cấu trúc và tên tập tin trông có vẻ là hợp pháp nhưng thực sự lại là giả mạo. Ngoài ra, nó còn có khả năng cho phép kẻ tấn công tải lên bất cứ nội dung gì vào trang Web.

Một trong những tập tin trong plugin mang tên class-social-facebook.php thì có vẻ như có khả năng chặn các spam Facebook không mong muốn. Tuy nhiên sau khi đi vào phân tích sâu thì người ta thấy nó được thiết kế để phá vỡ trang web, có khả năng khiến cho trang web không thể sử dụng được.

Thêm hai tập tin khác trong plugin là class-term-metabox-formatter.php và class-admin-user-profile.php có thể được kẻ tấn công sử dụng nhằm thu thập dữ liệu. Một t6a5p tin khác có tên là plugin-header.pho được thiết kế để thêm tài khoản quản trị bổ sung vào trang web, cho phép kẻ tấn công có thể xóa các tập tin khai thác, đồng thời tiết lệ các thông tin quan trọng như tên người dùng, mật khẩu và email có thể được sử dụng để đăng nhập trang web đã bị xâm nhập.

Các plugin giả mạo này cũng chứa mã có thể sử dụng để ping trang chủ, thông báo đến kẻ tấn công mỗi khi một quản trị viên kích hoạt nó trên trang web.

Trong khi đó, các trang web sử dụng một số plugin nhất định có thể bị tấn công sau khi lỗ hổng zero-day được tìm thấy trong ba plugin WordPress riêng biệt là Appointments, RegistrationMagic-Custom Registration Forms và Flickr Gallery.

Lỗ hổng mang tên PHP Object Injection Vulnerability Severity 9.8 cho phép kẻ tấn công tận dụng trang web dễ bị tổn thương để nạp tập tin từ xa, sau đó lưu vào vị trí riêng. Nó không hề yêu cầu chứng thực hay quyền đặc biệt gì. Đối với các trang web chạy Flickr Gallery, chỉ cần gửi các lệnh như một yêu cầu POST vào URL gốc của trang web để thực hiện tác vụ. Với Appointments và RegistrationMagic-Custom Registration Forms, yêu cầu sẽ chuyển đến admin-ajax.php. Nếu kẻ tấn công truy cập vào cửa hậu của plugin, chúng có thể kiểm soát được trang web dễ bị tổn thương.

Do đó các chuyên gia bảo mật khuyến cáo các quản trị viên Wordpress có thể vá lỗ hổng zero-day thông qua các liên kết tương ứng Appointments (2.2.2), Flickr Gallery (1.5.3) và RegistrationMagic-Custom Registration Forms (3.7.9.3).

Ngoài ra, các chuyên gia phát triển và lập trình web cũng nên xem xét các giải pháp phòng chống mối đe dọa an ninh mạng để bảo vệ trang web và hệ thống công ty tốt hơn.

Theo Thanh Niên