WordPress vá lỗi POP chain có thể dẫn đến thực thi mã từ xa

[WhiteHat Team]

WordPress vừa phát hành phiên bản 6.4.2 xử lý lỗ hổng thực thi mã từ xa (RCE) có thể kết hợp với một lỗ hổng khác, cho phép kẻ tấn công thực thi mã PHP tùy ý trên trang web mục tiêu.

Ảnh: Yoast.com​

WordPress là nền tảng quản lý nội dung nguồn mở (CMS) phổ biến hỗ trợ tạo và quản lý trang web. Hiện nay, nền tảng này được sử dụng bởi hơn 800 triệu trang web, chiếm khoảng 45% tổng số trang web trên Internet toàn cầu.

Các chuyên gia đã phát hiện ra POP (Property Oriented Programming) chain - một kiểu tấn công có thể điều khiển thuộc tính của đối tượng và làm ảnh hưởng đến luồng thực thi của chương trình trong WordPress 6.4.

POP chain cho phép kẻ tấn công kiểm soát tất cả thuộc tính của đối tượng sau khi được deserialize (tái cấu trúc) thông qua hàm unserialize() trong PHP. Kết quả là kẻ tấn công có thể chiếm quyền điều khiển luồng của ứng dụng bằng cách kiểm soát giá trị được gửi đến các magic method như ' _wakeup() '.

Đáng chú ý, để có thể thực thi mã từ xa, POP chain cần kết hợp với lỗ hổng PHP object ịnection (lỗi không lọc đầu vào đúng cách) tồn tại trên các plugin hoặc add-on đã được cài đặt và đang hoạt động trên trang web WordPress, khiến nguy cơ bị tấn công tăng đáng kể, có thể ở mức nghiêm trọng.

Thông báo từ nền tảng Patchstack (cung cấp công cụ quét lỗ hổng dành cho WordPress và plugin miễn phí) còn nhấn mạnh chuỗi khai thác lỗ hổng đã được tải lên GitHub vài tuần trước và sau đó được thêm vào thư viện PHPGGC (sử dụng trong kiểm thử bảo mật ứng dụng PHP).

Quản trị viên nên cập nhật WordPress lên phiên bản mới nhất, kể cả khi các bản cập nhật tự động cài đặt thì cũng nên kiểm tra thủ công xem cập nhật đã hoàn tất hay chưa.

Theo Bleeping Computer​