Nguy cơ đe dọa toàn bộ website WordPress

[Ginny Hà]

Tin tặc có thể chiếm quyền kiểm soát hoàn toàn một website WordPress do việc thiếu cơ chế tạo số ngẫu nhiên CSPRNG (Cryptographically secure pseudorandom number generator) của phần mềm này.

​

CSPRNG là cơ chế tạo số ngẫu nhiên trên một máy tính, có thể được ứng dụng vào các mục đích mã hóa, như sản sinh key hoặc salt. Các số được tạo là ngẫu nhiên giả bởi một chuỗi ngẫu nhiên thực chỉ có thể được tạo ở mức độ lý thuyết.

Lỗ hổng này trên WordPress vừa được chuyên gia lập trình web Scott Arciszewski đến từ Orlando, Florida phát hiện. Chuyên gia cảnh báo rằng những người vận hành WordPress cần thiết bổ sung cơ chế CSPRNG vào nền tảng của mình nhằm loại bỏ dù là khả năng nhỏ nhất một người có thể dự đoán token được sử dụng để reset mật khẩu.

Sau khi dự đoán thành công token, kẻ xấu có thể chiếm website WordPress. Tuy nhiên, tại thời điểm này chưa có bằng chứng nào về phương thức khai thác thành công lỗ hổng này.

Arciszewski cho biết, ông đã nhiều lần đưa vấn đề lỗ hổng nói trên với đội ngũ vận hành WordPress, lần đầu là vào ngày 25/06/2014. Một lần khác là trong hội nghị WordCamp Orlando – hội nghị chuyên về các thức sử dụng WordPress hiệu quả.

Trong cảnh báo đưa ra, chuyên gia cũng dẫn một liên kết có bản vá cho lỗ hổng, nhưng bản vá vẫn chưa được cập nhật cho WordPress.

WordPress hiện được sử dụng cho hơn 75 triệu website. Tuy nhiên, tin tặc có thể không quá quan tâm tới lỗ hổng do tính phức tạp của việc triển khai khai thác.

Nguồn: Softpedia​

 

Re: Nguy cơ đe dọa toàn bộ website WordPress

Up top & bookmark Isu500.............................!!!