CVE-2024-1071 WordPress beépülő modul biztonsági rése

Jelentős biztonsági rést tártak fel az Ultimate Memberben, egy széles körben használt WordPress bővítményben, amely több mint 200 000 aktív telepítéssel büszkélkedhet. A CVE-2024-1071 jelzéssel azonosított hiba magas, 10-ből 9,8 CVSS-pontszámot ért el, és Christiaan Swiers biztonsági kutató fedezte fel és jelentette. Amint azt a Wordfence, a WordPress biztonsági cég legújabb tanácsa részletezi, a beépülő modul (2.1.3-2.8.2-es verzió) érzékeny az SQL-befecskendezésre a „rendezés” paraméteren keresztül a felhasználó által megadott paraméterek nem megfelelő kilépése és az elégtelen előkészítés miatt. a meglévő SQL lekérdezést.

Ezt a kiskaput kihasználhatják a nem hitelesített támadók, hogy további SQL-lekérdezéseket illesszenek be a jelenlegi lekérdezésekbe, ami érzékeny adatok kinyeréséhez vezethet az adatbázisból. Nagyon fontos megjegyezni, hogy ez a probléma azokat a felhasználókat érinti, akik a beépülő modul beállításaiban az „Egyéni táblázat engedélyezése a usermeta számára” lehetőséget választották.

A 2024. január 30-i felelősségteljes nyilvánosságra hozatalt követően a beépülő modul fejlesztői azonnal orvosolták a biztonsági rést a 2.8.3-as verzió február 19-i kiadásával. A felhasználóknak nyomatékosan javasoljuk, hogy a lehetséges kockázatok minimalizálása érdekében haladéktalanul frissítsék beépülő moduljaikat a legújabb verzióra, különös tekintettel arra, hogy a Wordfence már meghiúsult. egy támadás, amely megpróbálta kihasználni a hibát az elmúlt 24 órában.

Figyelemre méltó, hogy 2023 júliusában a fenyegetés szereplői aktívan visszaéltek egy hasonló sérülékenységgel (CVE-2023-3460, CVSS pontszám: 9,8) ugyanabban a beépülő modulban. Ezt a hibát kihasználva jogosulatlan adminisztrátori felhasználókat hozhattak létre, és átvették az irányítást a sebezhető webhelyek felett.

Mi az a sebezhetőségek egységes CVE-besorolási rendszere?

A Common Vulnerability Scoring System (CVSS) egy szabványos pontozási rendszer, amelyet a szoftverrendszerek sebezhetőségeinek súlyosságának értékelésére és közlésére használnak. Közös keretet biztosít a szervezetek és egyének számára a biztonsági rések hatásának értékeléséhez. A CVSS-t úgy tervezték, hogy a gyártó-agnosztikus legyen, és széles körben alkalmazzák a kiberbiztonsági közösségben.

A CVSS számszerű pontszámot rendel a sérülékenységekhez különböző tényezők alapján, ideértve a sérülékenység kihasználhatóságát, az érintett rendszer titkosságára, integritására és elérhetőségére gyakorolt hatást, valamint azt, hogy a sérülékenység felhasználói beavatkozást igényel-e a kihasználáshoz. A pontszámok 0-tól 10-ig terjednek, a magasabb pontszámok súlyosabb sebezhetőséget jeleznek.

A CVSS több verzión ment keresztül, és 2022 januárjában tudomásom szerint a legújabb verzió a CVSSv3.1. A korábbi verziókhoz képest kifinomultabb és pontosabb értékelést nyújt a sebezhetőségekről.

A "Common Vulnerabilities and Exposures" (CVE) rendszer viszont egy külön kezdeményezés, amely egyedi azonosítókat, úgynevezett CVE ID-ket rendel a nyilvánosan közzétett sebezhetőségekhez. A CVE rendszer önmagában nem ad súlyossági pontszámot. Ehelyett gyakran a CVSS-szel együtt használják a sebezhetőségek egyedi azonosítására és értékelésére.