Lỗ hổng DoS khiến bất cứ ai cũng có thể đánh sập các website WordPress

Lỗ hổng có thể thực hiện tấn công DoS đơn giản nhưng khá nghiêm trọng vừa được phát hiện trong nền tảng CMS của WordPress. Lỗi này cho phép bất cứ ai cũng có thể đánh sập các website WordPress chỉ mới một thiết bị đơn giản mà không cần tới dải băng thông rộng như các cuộc tấn công DDoS thường thấy.
Do phía công ty từ chối đưa ra bản vá, lỗ hổng (CVE-2018-6389) chưa được vá ảnh hưởng tới hầu hết các phiên bản của WordPress trong 9 năm vừa qua, gồm cả phiên bản WordPress mới phát hành (4.9.2).
Được phát hiện bởi nhà nghiên cứu bảo mật Israel Barak Tawily, lỗ hổng nằm trong cách script có sẵn của WordPress CMS là "load-scripts.php xử lý các truy vấn từ người dùng.

Tệp tin load-scripts.php được thiết kế chỉ dành cho người dùng quản trị mới để giúp trang web cải thiện hiệu suất và tải trang nhanh hơn bằng cách kết hợp (trên máy chủ) nhiều tệp JavaScript thành một truy vấn duy nhất.
Tuy nhiên, để làm cho "load-scripts.php" hoạt động trên trang đăng nhập quản trị (wp-login.php) trước khi đăng nhập, các tác giả WordPress đã không yêu cầu bất kỳ chứng thực nào, và bất kỳ ai cũng có thể truy cập.
Tùy thuộc vào các plugin và mô-đun bạn đã cài đặt, tệp load-scripts.php sẽ yêu cầu có chọn lọc tệp JavaScript bằng cách chuyển tên của chúng vào tham số "tải", được phân cách bằng dấu phẩy, như trong URL sau:
https://your-wordpress-site.com/wp-...mmon,user-profile,media-widgets,media-gallery
Trong khi tải trang web, 'load-scripts.php' cố gắng tìm từng tên tệp JavaScript được đưa ra trong URL.
Cách các cuộc tấn công DoS hoạt động
Theo nhà nghiên cứu, hacker chỉ cần buộc load-scripts.php gọi tất cả các file JavaScript có thể (khoảng 181 script) trong một lần bằng cách đưa tên của chúng vào URL ở trên, làm cho trang web bị chậm do tốn nhiều CPU và bộ nhớ.
Mặc dù một truy vấn duy nhất không đủ để đánh sập toàn bộ trang web, Tawily đã sử dụng một kịch bản lệnh python proof-of-concept (PoC), doser.py, tạo ra một số lượng lớn các yêu cầu đồng thời tới cùng một URL để sử dụn càng nhiều tài nguyên CPU của máy chủ mục tiêu càng tốt và đánh sập trang web.
The Hacker News đã xác minh tính xác thực của khai thác DoS bằng cách sử dụng trang web WordPress demo của chúng tôi chạy trên một máy chủ VPS cỡ trung.
Nhưng điều đó không có nghĩa là lỗ hổng này không có hiệu quả đối với các trang web WordPress đang chạy trên một máy chủ mạnh vì cuộc tấn công đòi hỏi phải có ít gói tin và băng thông để đạt được mục tiêu chiếm một trang web.
Vì vậy, kẻ tấn công với băng thông nhiều hơn hoặc một vài chương trình có thể khai thác lỗ hổng này để nhắm mục tiêu vào các trang WordPress lớn và phổ biến.
Không có bản vá
Cùng với việc tiết lộ đầy đủ thông tin về lỗ hổng, Tawily cũng đã cung cấp một video mô phỏng cuộc tấn công DoS. Bạn có thể xem video tại đây:
Tawily đã báo cáo lỗ hổng này cho nhóm WordPress nhưng công ty từ chối thừa nhận và cho rằng loại lỗi này "nên được giảm thiểu nguy cơ ở phía server hoặc network thay vì trên ứng dụng ", điều này nằm ngoài sự kiểm soát của WordPress.
Lỗ hổng có vẻ nghiêm trọng vì WordPress chiếm gần 29 phần trăm Web, khiến hàng triệu trang web dễ bị tấn công bởi tin tặc.
Tuy nhiên, người dùng không nên đặt CMS đã sửa đổi, ngay cả khi nó là từ một nguồn đáng tin cậy.
Bên cạnh đó, nhà nghiên cứu cũng đã phát hành một tập lệnh bash đơn giản để khắc phục sự cố, trong trường hợp bạn đã cài đặt WordPress.