CVE-2023-39157: Lỗ hổng RCE trong plugin JetElements ảnh hưởng đến 300.000 website

[WhiteHat News #ID:2018]

Một lỗ hổng nghiêm trọng vừa được phát hiện trong plugin JetElements For Elementor có thể cho phép kẻ tấn công đã được xác thực thực thi mã tùy ý trên website mục tiêu.

Lỗ hổng có mã định danh CVE-2023-39157, điểm CVSS 9.0, được đánh giá ở mức nghiêm trọng.

JetElements là plugin mở rộng tính năng cho Elementor, cung cấp trên 40 tiện ích (widget) để tạo và quản lý nội dung trang web một cách linh hoạt. Hiện có khoảng 300.000 máy chủ web dùng plugin này trên toàn thế giới đủ thấy mức độ phổ biến của nó.

Lỗ hổng cho phép người dùng, với vai trò tối thiểu là “Contributor” thực thi các hàm PHP tùy ý, từ đó cho phép tin tặc chạy các lệnh, thiết lập backdoor và chiếm quyền kiểm soát toàn bộ trang web mục tiêu.

Theo các nhà phân tích, lỗ hổng nằm trong hàm render_meta của plugin, với các tham số đầu vào callback và callback_args được sử dụng bởi hàm all_user_func_array tích hợp sẵn trong PHP. Hậu quả là nó cho phép kích hoạt tấn công thực thi mã từ xa.

Để kích hoạt thực thi mã, người dùng có đặc quyền phải xuất bản một bài đăng nháp khi đó sẽ kích hoạt mã khai thác.

Lỗ hổng đã được xử lý trong in JetElements for Elementor phiên bản 2.6.11. Người dùng được khuyến cáo cập nhật lên phiên bản mới nhất ngay khi có thể hoặc giảm thiểu rủi ro bị khai thác bằng cách bỏ plugin JetElements For Elementor.

Người dùng được cần tuân thủ các khuyến cáo sau để bảo vệ các website khỏi các lỗ hổng:

• Thường xuyên cập nhật phần mềm và các plugin
• Sử dụng các plugin an toàn để quét các website khỏi lỗ hổng
• Dùng mật khẩu mạnh và đặt xác thực 2 yếu tố
• Định kỳ sao lưu website

Theo Security Online​