Lỗ hổng trong Plugin 'WordPress SEO by Yoast' ảnh hưởng hàng triệu website

[WhiteHat News #ID:0911]

Một lỗ hổng nghiêm trọng vừa được phát hiện trong plugin phổ biến nhất của nền tảng quản lý nội dung (CMS) WordPress, khiến hàng chục triệu website rơi vào nguy cơ bị tấn công.

Lỗ hổng thực chất tồn tại trên hầu hết các phiên bản plugin của WordPress được biết đến với tên ‘WordPress SEO by Yoast’. Với hơn 14 triệu lượt tải, Yoast trở thành một trong những plugin phổ biến nhất của WordPress giúp tối ưu hóa tìm kiếm cho website.

Lỗ hổng trên WordPress SEO by Yoast được phát hiện bởi Ryan Dewhurst - nhà phát triển ứng dụng quét lỗ hổng cho WordPress (WPScan).

Tất cả các phiên bản trước 1.7.3.3 của Yoast đều bị ảnh hưởng bởi lỗi Blind SQL Injection.

SQL injection (SQLi) vốn là lỗ hổng nghiêm trọng, có thể gây rò rỉ dữ liệu và dẫn đến lộ lọt các thông tin bí mật. Để tấn công SQLi, kẻ tấn công chèn truy vấn SQL đặc biệt vào ứng dụng qua quá trình nhập dữ liệu của người dùng.

CÁCH THỨC LỖ HỔNG YOAST HOẠT ĐỘNG

Tuy nhiên, trong trường hợp này, một tin tặc từ bên ngoài không thể khai thác lỗ hổng bởi lỗi thực chất nằm ở file 'admin/class-bulk-editor-list-table.php'. File này chỉ có thể được truy cập bởi WordPress Admin, Editor hoặc Tác giả.

Do vậy, để khai thác thành công lỗ hổng này, tin tặc buộc phải khai thác từ người dùng được cấp quyền truy nhập. Điều này có thể thực hiện nhờ kỹ thuật lừa đảo, giúp kẻ tấn công lừa người dùng được cấp quyền nhấp chuột vào URL có thể khai thác đoạn dữ liệu giả mạo.

Ryan cho hay nếu người dùng WordPress được cấp quyền bị lừa và làm theo hướng dẫn, tin tặc có thể khai thác để thực thi truy vấn SQL tùy ý trên website WordPress của nạn nhân.

Ryan còn công khai đoạn dữ liệu proof-of-concept của lỗ hổng Blind SQL Injection trong ‘WordPress SEO by Yoast’.

BẢN VÁ CHO LỖ HỔNG YOAST SQLi

WordPress vừa phát hành bản vá cho lỗ hổng trên phiên bản WordPress SEO by Yoast mới nhất (1.7.4), và thay đổi đoạn log sang trạng thái: phiên bản mới nhất đã “vá các lỗ hổng CSRF và blind SQL injection trong phần mềm biên tập”.

Bình thường, website WordPress của bạn sẽ được coi là chưa hề hoàn thiện nếu thiếu WordPress Yoast for SEO. Do vậy, lỗ hổng này thực sự nghiêm trọng đối với các chủ sở hữu website có mong muốn tăng lưu lượng tìm kiếm bằng cách sử dụng plugin này.

Theo đó, những quản trị WordPress trước đó đã tắt tính năng cập nhật tự động được khuyến cáo cập nhật plugin WordPress SEO by Yoast càng sớm càng tốt, hoặc có thể tải phiên bản mới nhất từ kho plugin WordPress.

Nếu bạn đang cài đặt WordPress 3.7 hoặc cao hơn, bạn có thể bật tính năng cập nhật tự động cho plugin và theme của mình theo các bước Manage > Plugins & Themes > Auto Updates.

Nguồn: The Hacker News​