Cảnh báo lỗ hổng nghiêm trọng trong plugin GiveWP của WordPress (CVE-2024-8353) có thể dẫn đến thực thi mã từ xa

CVE-2024-8353 là một lỗ hổng bảo mật cực kỳ nguy hiểm trong plugin GiveWP - một plugin phổ biến dùng cho quyên góp và gây quỹ trên WordPress.

Lỗ hổng này ảnh hưởng đến tất cả các phiên bản trước 3.16.2 và có thể dẫn đến lỗ hổng PHP Object Injection, cho phép kẻ tấn công thực thi mã từ xa (RCE) và xóa các tệp tùy ý trên máy chủ.

Lỗ hổng tồn tại do việc deserialization các dữ liệu đầu vào không được kiểm tra cẩn thận. Kẻ tấn công có thể gửi dữ liệu độc hại qua các tham số như 'give_title' và 'card_address'. Khi hệ thống giải mã dữ liệu này thành các đối tượng PHP, lỗ hổng có thể bị khai thác, từ đó chiếm quyền kiểm soát máy chủ.

Quy trình xảy ra lỗ hổng:

Nhận dữ liệu từ người dùng: Plugin GiveWP nhận đầu vào từ người dùng thông qua các tham số như 'give_title' và 'card_address', nhưng không thực hiện kiểm tra đầy đủ. Deserialization dữ liệu không tin cậy: Hệ thống giải mã (deserialize) dữ liệu đầu vào từ các tham số mà không kiểm tra nên chúng có thể chứa mã độc. Lỗi này cho phép kẻ tấn công gửi dữ liệu dưới dạng PHP object độc hại vào hệ thống. Bỏ qua kiểm tra bảo mật: Mặc dù plugin sử dụng hàm is_serialized() để kiểm tra dữ liệu trước khi giải mã, hàm stripslashes_deep() trên biến user_info có thể làm mất tính hiệu quả của việc kiểm tra này. Điều này dẫn đến khả năng bypass và cho phép khai thác lỗ hổng. Khai thác POP Chain: Khi dữ liệu độc hại được deserialization thành công, nếu một POP chain (chuỗi đối tượng độc hại) tồn tại trong hệ thống, kẻ tấn công có thể thực thi mã tùy ý, như xóa tệp tin hoặc chạy các lệnh từ xa trên máy chủ. Hậu quả Lỗ hổng này cho phép kẻ tấn công không xác thực:

Thực thi mã từ xa (RCE): Kẻ tấn công có thể thực thi các lệnh trên hệ thống, chiếm quyền điều khiển toàn bộ máy chủ WordPress. Xóa tệp tùy ý: Kẻ tấn công có thể xóa các tệp hệ thống quan trọng, gây hư hỏng hoặc ngừng hoạt động cho trang web. Do mức độ nghiêm trọng của lỗ hổng và khả năng khai thác dễ dàng nếu không được vá, tất cả các trang web sử dụng plugin GiveWP cần khẩn trương nâng cấp để ngăn chặn rủi ro.

Phiên bản ảnh hưởng

GiveWP phiên bản 3.16.1 trở về trước.

Khuyến nghị

Nâng cấp ngay lập tức lên GiveWP phiên bản 3.16.2 hoặc mới hơn. Kiểm tra và cấu hình lại việc xử lý dữ liệu đầu vào trong các tham số như 'give_title' và 'card_address' để ngăn chặn các khai thác tiềm ẩn.

Nguồn: VNCERT/CC

Công ty CP Dịch vụ an toàn thông tin TP.HCM (HISSC) chuyên cung cấp các dịch vụ về an ninh mạng gồm:

  • Điện toán đám mây.

  • Mạng phân phối nội dung

  • Giám sát an toàn thông tin mạng.

  • Bảo vệ an toàn thông tin đầu cuối.

  • Sao lưu, phục hồi dữ liệu.

  • Diễn tập phòng chống tấn công mạng.

  • Kiểm tra, đánh giá an toàn thông tin mạng.

  • Đào tạo an toàn thông tin.

  • Dịch vụ khác:

    • Triển khai tích hợp giải pháp công nghệ an toàn thông tin theo yêu cầu.
    • Cho thuê thiết bị an toàn thông tin, công nghệ thông tin

Liên hệ dịch vụ: