Lỗ hổng nghiêm trọng cho phép tin tặc kiểm soát các trang web sử dụng Concrete5 CMS

[DDos]

Các chuyên gia cảnh báo một lỗ hổng thực thi mã từ xa (RCE) ảnh hưởng đến hệ thống quản lý nội dung (CMS) Concrete5 khiến nhiều máy chủ hoàn toàn bị tin tặc kiểm soát.

Lỗ hổng thực thi mã từ xa được vá gần đây trong Concrete5 CMS có thể khiến nhiều trang web bị tin tặc tấn công.

Concrete5 là một hệ thống quản lý nội dung mã nguồn mở (CMS) được thiết kế rất đơn giản và dễ sử dụng với mọi đối tượng. Nó cho phép người dùng chỉnh sửa cũng như xuất bản các bài viết từ trang web.

Hệ thống quản lý nội dung hiện được sử dụng bởi nhiều tổ chức nổi tiếng trên toàn thế giới như BASF, GlobalSign và Quân đội Hoa Kỳ.

Lỗ hổng này được phát hiện bởi các nhà nghiên cứu đến từ Edgescan. Nó có thể bị khai thác để đưa một mã shellcode vào các máy chủ web tồn tại lỗ hổng cho phép kẻ tấn công toàn quyền kiểm soát trang web. Lỗ hổng ảnh hướng đến Concrete5 phiên bản 8.5.2.

Nhà nghiên cứu cho biết, để khai thác lỗ hổng, tin tặc cần có quyền quản trị để thêm tệp .PHP vào danh sách các tệp mở rộng được tải lên trang web.

“Trong quá trình đánh giá bảo mật phiên bản Concrete5 8.5.2, cấu hình trang web có thể bị sửa đổi để tải tệp PHP lên và thực thi các lệnh tùy ý. Theo mặc định, các loại tệp như PHP, HTML và các phần mở rộng tệp nguy hiểm khác không được phép tải lên trang web, nhưng do cấu hình lỗi trong Concrete5, phần mở rộng PHP vào danh sách tệp hợp pháp có thể đưa vào và sau đó tải tệp.”

Với tệp .PHP độc hại được tải lên trang web, tin tặc có thể tiêm các lệnh độc hại và thực thi mã tùy ý. Các bước để khai thác lỗ hổng này đã được công bố trên HackerOne.

Lỗ hổng bảo mật đã được báo cáo thông qua nền tảng HackerOne vào tháng 1 năm 2020, nhưng đến tháng 6, với việc phát hành phiên bản Concrete5 8.5.4, lỗ hổng mới được vá.

Các chuyên gia EdgeScan khuyến cáo người dùng thường xuyên kiểm tra và cập nhật hệ thống quản trị nội dung, các plugin tới phiên bản mới nhất, và sao lưu dữ liệu.

Theo Securityaffairs​