Home Whatsapp

Kerentanan Plugin Cadangan WordPress Berdampak pada 3+ Juta Instalasi

Halo semua, kali ini kita akan membahas tentang Kerentanan Plugin Cadangan WordPress Berdampak pada 3+ Juta Instalasi

Seperti apa sih pembahasannya? Yuk simak!

Peneliti keamanan di Automattic menemukan kerentanan yang memengaruhi plugin cadangan WordPress populer, UpdraftPlus. Kerentanan memungkinkan peretas mengunduh nama pengguna dan kata sandi hash. Automattic menyebutnya sebagai “kerentanan parah.”

Plugin Cadangan WordPress UpdraftPlus

UpdraftPlus adalah plugin cadangan WordPress populer yang diinstal secara aktif di lebih dari 3 juta situs net.

Plugin ini memungkinkan administrator WordPress untuk membuat cadangan instalasi WordPress mereka, termasuk seluruh database yang berisi kredensial pengguna, kata sandi, dan informasi sensitif lainnya.

Penerbit mengandalkan UpdraftPlus untuk mematuhi standar keamanan tertinggi di plugin mereka karena seberapa sensitif knowledge yang dicadangkan dengan plugin.

Kerentanan UpdraftPlus

Kerentanan ditemukan oleh audit yang dilakukan oleh peneliti keamanan di Jetpack Automattic.

Mereka menemukan dua kerentanan yang sebelumnya tidak diketahui.

Yang pertama terkait dengan bagaimana token keamanan UpdraftPlus yang disebut, nonces, bisa bocor. Ini memungkinkan penyerang untuk mendapatkan cadangan, termasuk nonce.

Menurut WordPress, nonces tidak seharusnya menjadi garis pertahanan utama terhadap peretas. Ini secara eksplisit menyatakan bahwa fungsi harus dilindungi dengan memvalidasi dengan benar siapa yang memiliki kredensial yang tepat (dengan menggunakan fungsi yang disebut current_user_can()).

WordPress menjelaskan:

“Nonce tidak boleh diandalkan untuk otentikasi, otorisasi, atau kontrol akses. Lindungi fungsi Anda menggunakan current_user_can(), dan selalu anggap nonces dapat dikompromikan.”

Kerentanan kedua terkait dengan validasi yang tidak tepat dari peran pengguna terdaftar, persis seperti yang diperingatkan WordPress bahwa pengembang harus mengambil langkah untuk mengunci plugin.

Validasi peran pengguna yang tidak tepat memungkinkan seseorang dengan knowledge dari kerentanan sebelumnya untuk mengunduh cadangan apa pun, yang tentu saja berisi informasi sensitif.

Jetpack menjelaskannya:

“Sayangnya, metode UpdraftPlus_Admin::maybe_download_backup_from_email, yang terhubung ke admin_init juga tidak secara langsung memvalidasi peran pengguna.

Meskipun menerapkan beberapa pemeriksaan secara tidak langsung, seperti memeriksa variabel world $pagenow, penelitian sebelumnya menunjukkan bahwa variabel ini dapat berisi enter pengguna yang berubah-ubah.

Pelaku jahat dapat menggunakan titik akhir ini untuk mengunduh cadangan file & foundation knowledge berdasarkan informasi yang mereka bocorkan dari bug detak jantung yang disebutkan di atas.”

Foundation knowledge Kerentanan Nasional Pemerintah Amerika Serikat memperingatkan bahwa UpdraftPlus tidak “… memvalidasi dengan benar bahwa pengguna memiliki hak istimewa yang diperlukan untuk mengakses pengidentifikasi nonce cadangan, yang memungkinkan setiap pengguna dengan akun di situs (seperti pelanggan) untuk mengunduh paling banyak cadangan situs & foundation knowledge terbaru.”

Pembaruan Paksa WordPress dari UpdraftPlus

Kerentanannya sangat parah, WordPress mengambil langkah luar biasa dengan memaksa pembaruan otomatis pada semua instalasi yang belum memperbarui UpdraftPlus ke versi terbaru.

Tetapi penerbit disarankan untuk menerima begitu saja bahwa instalasi mereka telah diperbarui.

Versi UpdraftPlus yang Terkena Dampak

Versi free of charge UpdraftPlus sebelum 1.22.3 dan versi premium UpdraftPlus sebelum 2.22.3 rentan terhadap serangan.

Penerbit disarankan untuk memeriksa apakah mereka menggunakan versi terbaru dari UpdraftPlus.

kutipan

Baca Pengumuman Jetpack

Kerentanan Parah Tetap Di UpdraftPlus 1.22.3

Baca Pengumuman UpdraftPlus

Rilis keamanan UpdraftPlus – 1.22.3 / 2.22.3 – harap tingkatkan

Baca Dokumentasi Pemerintah AS tentang Kerentanan

Detail CVE-2022-0633


Semoga bermanfaat.

Leave a Reply