WordPress cập nhật bảo mật vá lỗi trong plugin

[WhiteHat News #ID:3333]

Nhóm bảo mật WordPress đã thực hiện việc hiếm làm là đẩy một bản cập nhật bảo mật ‘cưỡng chế’ cho một plugin phổ biến.
Các trang web WordPress chạy plugin Loginizer đã buộc phải cập nhật lên phiên bản Loginizer 1.6.4 trong tuần này.
Phiên bản này sửa lỗi bảo mật cho một lỗ hổng SQL injection nguy hiểm có thể cho phép tin tặc chiếm đoạt các trang web WordPress đang chạy các phiên bản cũ của plugin Loginizer.

Loginizer là một trong những plugin WordPress phổ biến nhất hiện nay với hơn một triệu trang web đang sử dụng.
Plugin cung cấp các cải tiến bảo mật cho trang đăng nhập WordPress. Loginizer có thể đưa địa chỉ IP vào danh sách đen hoặc danh sách trắng để truy cập trang đăng nhập WordPress, có thể thêm hỗ trợ xác thực hai yếu tố hoặc có thể thêm CAPTCHA đơn giản để chặn các nỗ lực đăng nhập tự động.
Theo mô tả, lỗi bảo mật nằm trong cơ chế bảo vệ brute-force của Loginizer, được bật theo mặc định cho tất cả các trang web có cài đặt Loginizer.
Để khai thác lỗi này, kẻ tấn công có thể cố gắng đăng nhập vào một trang web WordPress bằng tên người dùng WordPress không đúng định dạng được đính kèm các câu lệnh SQL.
Khi xác thực không thành công, plugin Loginizer sẽ ghi lại lần thử không thành công này trong cơ sở dữ liệu của trang WordPress, cùng với tên người dùng bị lỗi.
Nhưng theo Slavco và WPScan giải thích, plugin giữ nguyên các câu lệnh SQL, cho phép những kẻ tấn công từ xa chạy mã nhắm vào cơ sở dữ liệu WordPress - các nhà nghiên cứu bảo mật gọi đây là một cuộc tấn công chèn SQL chưa được xác thực.
Đây là một trong những vấn đề bảo mật tồi tệ nhất được phát hiện trong các plugin WordPress trong những năm gần đây và đó là lý do tại sao nhóm bảo mật WordPress dường như đã quyết định cưỡng chế cài đặt bản vá Loginizer 1.6.4 cho tất cả các trang web bị ảnh hưởng.

Theo: ZDNet​