Lỗi trong plug-in WordPress đặt hơn 1 triệu website trước nguy cơ bị tấn công

[WhiteHat News #ID:2112]

Chủ sở hữu các trang web WordPress nên cập nhật plug-in Jetpack càng sớm càng tốt vì một lỗ hổng nghiêm trọng có thể đặt người dùng trước nguy cơ bị tấn công.

Jetpack là một plug-in phổ biến, cung cấp tính năng tối ưu hóa, quản lý và an ninh miễn phí cho website, có hơn 1 triệu cài đặt đang hoạt động.

​

Các nhà nghiên cứu từ Sucuri đã tìm thấy một lỗ hổng stored-XSS ảnh hưởng đến tất cả các phiên bản Jetpack từ năm 2012, bắt đầu với phiên bản 2.0.

Lỗ hổng nằm trong module Shortcode Embeds Jetpack cho phép người dùng nhúng các video, hình ảnh, tài liệu, tweet… từ bên ngoài vào nội dung của mình. Lỗ hổng có thể dễ dàng bị khai thác để cài mã JavaScript độc hại vào trong các bình luận.

Sau đó, mã độc sẽ được thực thi trong trình duyệt của người dùng của các trang web bị ảnh hưởng mỗi khi họ xem các bình luận độc hại. Việc này có thể được sử dụng để lấy cắp cookie xác thực, bao gồm cả phiên làm việc của quản trị viên; chuyển hướng khách truy cập để tiến hành khai thác, hoặc lây nhiễm các spam tối ưu hóa công cụ tìm kiếm (SEO).

Các trang web không kích hoạt module Shortcode Embeds không bị ảnh hưởng, nhưng module này cung cấp chức năng phổ biến nên rất nhiều trang web có thể đã kích hoạt.

Các nhà phát triển Jetpack đưa ra bản cập nhật cho tất cả các phiên bản bị ảnh hưởng thông qua hệ thống tự động cập nhật của WordPress. Jetpack phiên bản 4.0.3 hoặc các bản mới hơn đều đã vá lỗ hổng.

Trường hợp người dùng không muốn nâng cấp lên bản mới nhất, các nhà phát triển Jetpack cũng phát hành các phiên bản phụ cho tất cả 21 phiên bản bị lỗi của Jetpack: 2.0.7, 2.1.5, 2.2.8, 2.3.8, 2.4.5, 2.5.3, 2.6.4, 2.7.3, 2.8.3, 2.9.4, 3.0.4, 3.1.3, 3.2.3, 3.3.4, 3.4.4, 3.5.4, 3.6. 2, 3.7.3, 3.8.3, 3.9.7 và 4.0.3.

Theo ComputerWorld​