user

Авторизация

Добро пожаловать!

Регистрация

Graf

IT безопасность

Хакеры используют неисправленную уязвимость плагина WordPress для создания секретных учетных записей администраторов

 Целых 200 000 веб-сайтов WordPress подвержены риску продолжающихся атак с использованием критической неисправленной уязвимости в системе безопасности плагина Ultimate Member.

 Уязвимость, отмеченная как CVE-2023-3460 (оценка CVSS: 9,8), затрагивает все версии подключаемого модуля Ultimate Member, включая последнюю версию (2.6.6), выпущенную 29 июня 2023 г.

 Ultimate Member — популярный плагин , облегчающий создание профилей пользователей и сообществ на сайтах WordPress. Он также предоставляет функции управления учетными записями.

 «Это очень серьезная проблема: злоумышленники, не прошедшие проверку подлинности, могут использовать эту уязвимость для создания новых учетных записей пользователей с административными привилегиями, что дает им возможность получить полный контроль над уязвимыми сайтами», — говорится в предупреждении компании по безопасности WordPress WPScan .

 Хотя подробности об уязвимости были скрыты из-за активного злоупотребления, она связана с неадекватной логикой черного списка, которая позволяет злоумышленникам изменить мета-значение пользователя wp_capabilities нового пользователя на значение администратора и получить полный доступ к сайту.

 «Хотя плагин имеет заранее определенный список запрещенных ключей, который пользователь не должен иметь возможности обновлять, существуют тривиальные способы обойти установленные фильтры, такие как использование различных регистров, косых черт и кодировки символов в предоставленном значении мета-ключа. в уязвимых версиях плагина», — сказала исследователь Wordfence Хлоя Чемберленд .

 Проблема обнаружилась после того, как появились сообщения о добавлении мошеннических учетных записей администраторов на затронутые сайты, что побудило сопровождающих плагинов выпустить частичные исправления в версиях 2.6.4, 2.6.5 и 2.6.6. Ожидается, что новое обновление будет выпущено в ближайшие дни.

 «Уязвимость повышения привилегий, используемая через UM Forms», — говорится в примечаниях к выпуску Ultimate Member. «Известно, что уязвимость позволяла незнакомцам создавать пользователей WordPress с правами администратора».

 WPScan, однако, указал, что исправления неполные и что было найдено множество способов их обойти, а это означает, что проблема все еще активно используется.

 В наблюдаемых атаках уязвимость используется для регистрации новых учетных записей под именами apadmins, se_brutal, segs_brutal, wpadmins, wpengine_backup и wpenginer для загрузки вредоносных плагинов и тем через административную панель сайта.

 Пользователям Ultimate Member рекомендуется отключить плагин до тех пор, пока не будет выпущено надлежащее исправление, которое полностью закроет дыру в безопасности. Также рекомендуется проверять всех пользователей уровня администратора на веб-сайтах, чтобы определить, были ли добавлены какие-либо неавторизованные учетные записи.

Выпущена Ultimate Member Version 2.6.7#

 1 июля авторы Ultimate Member выпустили версию 2.6.7 плагина для устранения активно используемой уязвимости повышения привилегий. В качестве дополнительной меры безопасности они также планируют добавить в плагин новую функцию, позволяющую администраторам веб-сайта сбрасывать пароли для всех пользователей.

 «2.6.7 вводит белый список для мета-ключей, которые мы сохраняем при отправке форм», — сказали сопровождающие в независимом бюллетене. «2.6.7 также разделяет данные настроек формы и отправленные данные и оперирует ими в двух разных переменных».