Kritiniai pažeidimai WordPress įskiepiuose eksploatuojami internetinėje sferoje

Naujos anketos su administracinėmis privilegijomis gali būti sukurtos ir naudojamos pilnam internetinių puslapių užėmimui

WordPress trūkumai greičiausiai suteikė internetiniams nusikaltėliams administracines privilegijas, ir galimybę ištrinti informaciją iš pažeidžiamų tinklalapių

Internetiniai nusikaltėliai eksploatavo kritinius WordPress įskiepio trūkumus, kurie leido įsilaužėliams pilnai kontroliuoti tinklalpiuose esantį turinį, ir jį netgi išvalyti. Itin didelis pažeidžiamumas buvo atrastas ThemeREX Addons WordPress įskiepyje. Ši silpnoji vieta eksploatuojama leidžia įsibrovėliams susikurti anketas su administracinėmis privilegijomis, kad internetiniai puslapiai galėtų būti užgrobti.

Šis specifinis įskiepis yra įinstaliuotas į mažiausiai 44,000 internetinius puslapius, pasak Wordfence apsaugos firmos, todėl šie tinklalapiai vis dar yra pažeidžiami. Įskiepis teikia 466 komercines WordPress temas ir šablonus pardavimui, todėl pirkėjai gali konfigūruoti ir tvarkyti temas daug lengviau.

Įskiepis veikia sureguliuojant WordPress REST-API pabaigos tašką, bet be patikrinimo ar komandos siųstos į šitą REST API ateina iš tinklalapio savininko, ar iš įgalioto vartotojo. Tai yra būdas, kaip nuotolinis kodas gali būti paleidžiamas bet kurio neautentifikuoto lankytojo.

Kitas trūkumas, apimantis WordPress temas, buvo surastas įskiepiuose, sukurtų ThemeGrill, kuris parduoda tinklalapių temas daugiau nei 200,000 internetinių puslapių. Pažeidžiamumas leido internetiniams nusikaltėliams nusiųsti tam tikrą turinį tiems pažeidžiamiems tinklalapiams, ir paleisti norimas funkcijas po administracinių privilegijų gavimo.

Užkrėstų WordPress temų schema privedė prie sukompromituotų serverių

Remiantis analizės duomenimis, tokie pažeidžiamumai leidžia sukompromituoti bent jau 20,000 internetinių serverių visame pasaulyje. Tai greičiausiai jau padarė įtaką virusų instaliacijoms, pavojingų reklamų pasirodymui. Daugiau negu vienas penktadalis šių serverių priklauso vidutinio dydžio verslams, kurie turi mažiau pajamų, kad sukurtų daugiau tinklalapių, ne taip kaip didesnės kompanijos, todėl tokie saugos inicidentai padaro daugiau žalos.

Naudojimasis tokia plačiai žinoma turinio tvarkymo sistema galėjo prasidėti dar 2017 metais. Įsilaužėliai gali pasiekti savo nusistatytus tikslus, ir nepastebėtai sukompromituoti įvairius tinklalapius dėl aukų nepakankamo supratimo apie saugumą. Prie jau minėtų pažeidžiamų įskiepių ir kitų pažeidžiamumų, 30 internetinių puslapių, kurie siūlo WordPress temas ir įskiepius, buvo atrasti.

Užkrėstos pakuotės buvo įinstaliuotos, ir vartotojai platino užkrėstus failus, nežinodami, kad toks elgesys leidžia nusikaltėliams įgyti pilną internetinio serverio kontrolę. Iš ten yra lengva pridėti administruojamas anketas, atkurti internetinius serverius, ir gauti prieigą prie koorporacinių išteklių.

Taip pat, į tokias atakas įtraukti virusai gali:

• komunikuoti su nusikaltėlių valdomais komandos ir kontrolės serveriais;
• parsisiųsti failų iš serverio;
• įdiegti „sausainiukus“, kad galėtų rinkti įvairią informaciją apie lankytojus;
• rinkti informaciją apie paveiktą prietaisą.

Be to, nusikaltėliai įtraukti į šias schemas gali naudoti raktažodžius, kenksmingą reklamavimą ir kitas technikas:

In numerous cases, the advertisements were completely benign and would direct the end user to a legitimate service or website. In other cases however, we observed pop-up ads prompting the user to download potentially unwanted programs.

WordPress yra pati populiariausia turinio tvarkymo sistema visame pasaulyje

Neseniai išleisti pranešimai rodo, kad turinio tvarkymo sistemos daugiau nebėra pasirinkimas, ir yra ant kylančios populiariumo bangos. Ypač verslo kompanijoms ir aplikacijoms, kurios valdo turinį atskirtą nuo pradinio ekrano sluoksnio ar vartotojui teikiamos patirties. Atliktas tyrimas rodo, kad lyginant su kitomis turinio tvarkymo sistemomis, WordPress panaudojimas sparčiai padidėjo.

Taip pat, verslo organizacijos gauna didelės naudos, naudodamosis daugiau nei viena turinio tvarkymo sistema per kartą, todėl ši praktika tampa vis labiau ir labiau populiari. Tai yra neįitikėtinai patogu, kai yra problemų su pažeidžiamumais, įvairiais trūkumais, ar tam tikrų nesusipratimų, susijusių su serveriais, privatumu arba jūsų tinklalapio ar privačios informacijos apsauga.

Galimi variantai

Kompiuterių apsaugos žinovai pataria organizacijoms ir administratoriams:

• vengti naudoti nulaužtas programas;
• įjungti ir atnaujinti Windows Defender ar kitas antivirusines priemones;
• venkite naudoti tuos pačius slaptažodžius kelioms anketoms;
• atnaujinkite savo operacinę sistemą reguliariai;
• pasikliaukite pataisymais kai kuriems pažeidžiamumams sutvarkyti ir atnaujinimais specifiniams įskiepiams.