Dve zraniteľné miesta ovplyvňujúce doplnok Facebook for WordPress zverejnila Wordfence Threat Intelligence team.
Tento doplnok, predtým známy ako „oficiálny Facebook Pixel“, si nainštalovalo viac ako 500 000 stránok.
Tieto dve kritické zraniteľnosti boli opravené, čo znamená, že svoje doplnky musíte čo najskôr aktualizovať, aby už neboli zraniteľné.
Prvá zraniteľnosť zistená v decembri 2020
Jeden z exploitov, prvýkrát objavený v decembri 2020, umožňuje útočníkovi iniciovať úplné prevzatie lokality a kontrolovať ju škodlivým kódom.
Tento útok je známy ako útok RCE alebo útok na vzdialené spustenie kódu. Wordfence hovorí, že chyba v doplnku „umožnila neovereným útočníkom s prístupom k tajným soliam a kľúčom stránky dosiahnuť vzdialené spustenie kódu prostredníctvom slabosti deserializácie“.
Druhá zraniteľnosť zistená v januári 2021
Tím Wordfence objavil 27. januára 2021 ďalšiu zraniteľnosť. Toto skončilo ako chyba, ktorá sa objavila pri zmene značky doplnku vo verzii 3.0.0.
Táto chyba umožnila útočníkom vložiť škodlivý kód JavaScript do nastavení tohto doplnku. Jediné, čo by útočník musel urobiť, je oklamať správcu, aby klikol na odkaz, na ktorý by v prvom rade kliknúť nemal.
Obe tieto zraniteľnosti sú Wordfence posudzované na najvyššej úrovni závažnosti. Dôrazne odporúčajú stiahnutie aktualizácií softvéru na opravu vašich inštalácií doplnku Facebook for WordPress.
Chyba zabezpečenia PHP Object Injection – CVSS skóre 9
The Common Vulnerability Scoring System (CVSS) skóre deväť zaraďuje túto zraniteľnosť doplnku do vážneho a kritického rozsahu, čo znamená, že by ste mali okamžite aktualizovať svoju verziu doplnkov, aby ste predišli akýmkoľvek útočníkom, ktorí ohrozia vašu webovú stránku.
Časopis Infosecurity oznamuje, že:
„Jadrom zraniteľnosti PHP Object Injection bola funkcia run_action(). Táto funkcia bola určená na deserializáciu používateľských údajov z premennej POST event_data, aby mohla odoslať údaje do pixelovej konzoly,“ vysvetlila analytička hrozieb Wordfence, Chloe Chamberland.
„Bohužiaľ, tieto event_data mohol poskytnúť používateľ. Keď sa v PHP deserializuje vstup zadaný používateľom, používatelia môžu dodať objekty PHP, ktoré môžu spúšťať magické metódy a vykonávať akcie, ktoré možno použiť na škodlivé účely.
Ako taká mohla byť chyba zneužitá na nahranie ľubovoľných súborov a dosiahnutie vzdialeného spustenia kódu na zraniteľnom cieli.
Druhá chyba zabezpečenia: Falšovanie požiadaviek medzi stránkami – skóre CVSS 8,8
Skóre CVSS 8,8 tiež stavia túto zraniteľnosť na vážnu úroveň a vyžaduje, aby ste si čo najskôr stiahli a nainštalovali najnovšie aktualizácie.
Ďalším veľmi dôležitým bodom, ktorý tu treba spomenúť, je, že táto druhá zraniteľnosť môže potenciálne viesť k problému so skriptovaním medzi lokalitami.
Uistite sa, že aktualizujete svoje doplnky, aby ste sa vyhli prevzatiu vašej webovej stránky.
ZDNet nahlásil nasledovné:
„Bezpečnostná chyba falšovania žiadosti medzi stránkami, ktorá vedie k problému so skriptovaním medzi stránkami, bola predstavená náhodne pri zmene značky doplnku.
Keď bol softvér aktualizovaný, bola zavedená funkcia AJAX na uľahčenie integrácie doplnkov. Problém s kontrolou oprávnení vo funkcii však útočníkom otvoril cestu k vytváraniu požiadaviek, ktoré by sa dali vykonať, „ak by dokázali oklamať správcu, aby vykonal akciu pri autentifikácii na cieľovej lokalite,“ uvádza Wordfence.
„Útočník môže túto akciu použiť na aktualizáciu nastavení doplnku tak, aby ukazoval na svoju vlastnú konzolu Facebook Pixel a ukradol metrické údaje pre stránku,“ hovorí tím. “Čo je horšie, keďže nedošlo k žiadnej dezinfekcii uložených nastavení, útočník mohol do hodnôt nastavení vložiť škodlivý JavaScript.”
Škodlivý JavaScript by sa dal napríklad použiť na vytvorenie zadných vrátok v témach alebo vytvorenie nových správcovských účtov na ukradnutie celých webových stránok.“
Facebook pre WordPress: Nezabudnite aktualizovať!
Oba nedostatky boli opravené nedávnou aktualizáciou doplnku na verziu 3.0.4.
Dôrazne sa odporúča, aby všetci správcovia webu aktualizovali svoj doplnok Facebook for WordPress na najnovšiu verziu, aby sa predišlo tomu, že by akýmkoľvek vonkajším útočníkom ohrozili bezpečnosť ich webových stránok.
Dôrazne odporúčame, aby ste tieto kroky vykonali okamžite.
