WhiteHat News #ID:1368
WhiteHat Support
-
04/06/2014
-
0
-
110 bài viết
Hàng triệu website WordPress, Drupal dính lỗ hổng
Một lỗ hổng mới phát hiện đang ảnh hưởng tới hàng triệu website sử dụng 2 hệ thống quản trị nội dung mã nguồn mở được sử dụng rộng rãi nhất trên thế giới hiện nay: WordPress và Drupal.
Drupal là cái tên khá nổi tiếng khi đang được dùng cho các website của chính phủ Hoa Kỳ, trong khi WordPress chiếm 23% tổng số website toàn cầu, tức hơn 60 triệu website.
Lỗ hổng được nhà nghiên cứu Nir Goldshlager phát hiện có thể khiến các website rơi vào nguy cơ bị tấn công từ chối dịch vụ (DoS) do lỗi module xử lý XML của PHP. Drupal và WordPress đều sử dụng cùng 1 module PHP nên chịu nguy cơ như nhau.
Lỗ hổng PHP XML có thể làm đầy CPU và tràn bộ nhớ, ngoài ra còn làm cho cơ sở dữ liệu của website đạt số lượng tối đa các kết nối mở. Kết quả là website bị tấn công rơi vào trạng thái từ chối dịch vụ và tê liệt. “Lỗ hổng có thể bị tin tặc khai thác mà không cần đến sự hỗ trợ của bất cứ plug-in nào và tồn tại trên bản cài đặt mặc định của Drupal cũng như WordPress. Chỉ cần 1 máy tính để khai thác lỗ hổng này”, nhà nghiên cứu Goldshlager nhấn mạnh.
Cả Drupal và WordPress đã tung ra bản vá để khắc phục lỗ hổng nói trên. Người dùng Drupal 7 cần nâng cấp lên phiên bản 7.31 và Drupal 6 lên phiên bản 6.33. Các phiên bản WordPress từ 3.7 trở lên sẽ được tự động cập nhật bản vá. Tuy nhiên lỗ hổng còn ảnh hưởng đến cả các phiên bản WordPress từ 3.5 nên quản trị viên cần kiểm tra và đảm bảo website của mình được cập nhật phiên bản mới nhất 3.9.2.
Trong một tin tức liên quan, hãng bảo mật Sucuri cũng tuyên bố tìm ra lỗ hổng trong plug-in của WordPress có tên Custom Contacts Form. Lỗi trong chức năng adminInit() của plug-in này giúp tin tặc có thể tạo ra một tài khoản quản trị mới, sửa cơ sở dữ liệu và chiếm toàn quyền kiểm soát website. Hiện lỗ hổng đã được hãng bảo mật Sucuri phối hợp cùng nhóm an ninh của WordPress phối hợp khắc phục bằng bản vá trong phiên bản mới nhất 5.1.0.4.
Hiện Custom Contacts Form có trên 621.000 lượt download và hàng trăm nghìn website sử dụng plug-in này.
Nguồn: Arstechnica, eWeek
Drupal là cái tên khá nổi tiếng khi đang được dùng cho các website của chính phủ Hoa Kỳ, trong khi WordPress chiếm 23% tổng số website toàn cầu, tức hơn 60 triệu website.
Lỗ hổng được nhà nghiên cứu Nir Goldshlager phát hiện có thể khiến các website rơi vào nguy cơ bị tấn công từ chối dịch vụ (DoS) do lỗi module xử lý XML của PHP. Drupal và WordPress đều sử dụng cùng 1 module PHP nên chịu nguy cơ như nhau.
Lỗ hổng PHP XML có thể làm đầy CPU và tràn bộ nhớ, ngoài ra còn làm cho cơ sở dữ liệu của website đạt số lượng tối đa các kết nối mở. Kết quả là website bị tấn công rơi vào trạng thái từ chối dịch vụ và tê liệt. “Lỗ hổng có thể bị tin tặc khai thác mà không cần đến sự hỗ trợ của bất cứ plug-in nào và tồn tại trên bản cài đặt mặc định của Drupal cũng như WordPress. Chỉ cần 1 máy tính để khai thác lỗ hổng này”, nhà nghiên cứu Goldshlager nhấn mạnh.
Cả Drupal và WordPress đã tung ra bản vá để khắc phục lỗ hổng nói trên. Người dùng Drupal 7 cần nâng cấp lên phiên bản 7.31 và Drupal 6 lên phiên bản 6.33. Các phiên bản WordPress từ 3.7 trở lên sẽ được tự động cập nhật bản vá. Tuy nhiên lỗ hổng còn ảnh hưởng đến cả các phiên bản WordPress từ 3.5 nên quản trị viên cần kiểm tra và đảm bảo website của mình được cập nhật phiên bản mới nhất 3.9.2.
Trong một tin tức liên quan, hãng bảo mật Sucuri cũng tuyên bố tìm ra lỗ hổng trong plug-in của WordPress có tên Custom Contacts Form. Lỗi trong chức năng adminInit() của plug-in này giúp tin tặc có thể tạo ra một tài khoản quản trị mới, sửa cơ sở dữ liệu và chiếm toàn quyền kiểm soát website. Hiện lỗ hổng đã được hãng bảo mật Sucuri phối hợp cùng nhóm an ninh của WordPress phối hợp khắc phục bằng bản vá trong phiên bản mới nhất 5.1.0.4.
Hiện Custom Contacts Form có trên 621.000 lượt download và hàng trăm nghìn website sử dụng plug-in này.
Nguồn: Arstechnica, eWeek
Chỉnh sửa lần cuối bởi người điều hành: