Các lỗ hổng nghiêm trọng được vá trong Plugin Facebook dành cho WordPress

[sImplePerson]

Facebook phát hành bản vá cho 2 lỗ hổng nghiêm trọng trong Plugin Facebook cho WordPress. Hai lỗ hổng do nhóm Wordfence Threat Intelligence tiết lộ, ảnh hưởng đến Facebook dành cho WordPress, trước đây được gọi là Official Facebook Pixel.

Plugin giúp ghi nhận hoạt động của người dùng khi họ truy cập một trang sử dụng WordPress và theo dõi lưu lượng truy cập web. Plugin này đã được cài đặt trên hơn 500.000 trang web.

Vào ngày 22/12/2020, các nhà nghiên cứu an ninh mạng đã tiết lộ riêng với nhà phát triển nền tảng WordPress một lỗ hổng nghiêm trọng có điểm CVSS 9. Lỗ hổng này, được mô tả là một PHP Object injection, đã được tìm thấy trong hàm run_action () của phần mềm.

Nếu một nonce hợp lệ được tạo - chẳng hạn như thông qua việc sử dụng tập lệnh tùy chỉnh - kẻ tấn công có thể cung cấp plugin với các objects PHP, sau đó tải file lên trang web và có thể thực thi mã từ xa (RCE ).

Nhóm nghiên cứu cho biết: "Lỗ hổng này tạo điều kiện cho những kẻ tấn công có thể truy cập vào secret salts và khóa bí mật của một trang web để thực hiện mã từ xa thông qua điểm yếu deserialization”.

Lỗ hổng thứ hai, được phát hiện vào ngày 27/1. Lỗ hổng CSRF, dẫn đến vấn đề tập lệnh trên nhiều trang, đã vô tình được giới thiệu khi plugin được đổi thương hiệu.

Khi phần mềm được cập nhật, một hàm AJAX được giới thiệu để giúp tích hợp plugin dễ dàng hơn. Tuy nhiên, vấn đề kiểm tra quyền trong hàm giúp những hacker tạo ra các yêu cầu có thể thực thi trên web.

"Kẻ tấn công có thể sử dụng hành động này để cập nhật cài đặt của plugin nhằm trỏ đến bảng điều khiển Facebook Pixel của kẻ tấn công và lấy cắp dữ liệu của trang web", nhóm nghiên cứu cho biết. "Tệ hơn nữa, vì không có sự kiểm soát đối với các cài đặt được lưu trữ, kẻ tấn công có thể đưa JavaScript độc hại vào các giá trị cài đặt".

Ví dụ: JavaScript độc hại có thể được sử dụng để tạo backdoor trong chủ đề hoặc tạo tài khoản quản trị mới để chiếm quyền điều khiển toàn bộ trang web.

Bản vá cho lỗ hổng đầu tiên đã được phát hành vào ngày 6/1, tiếp theo là bản sửa lỗi thứ hai vào ngày 12/2. Tuy nhiên, bản vá cho lỗi thứ hai yêu cầu điều chỉnh và bản sửa lỗi đầy đủ đã không được công bố cho đến ngày 17/2.

Cả hai lỗ hổng đều đã được cập nhật trong phiên bản 3.0.4, do đó, quản trị web khuyến cáo người dùng nên cập nhật lên phiên bản mới nhất của plugin, hiện là 3.0.5.

Theo ZDNet​