CVE-2023-6000 XSS 脆弱性が 3,000 以上のサイトをターゲットに使用される

最近、新たなマルウェア キャンペーンに由来する攻撃が急増しており、WordPress プラグイン Popup Builder の既知の脆弱性を悪用し、XSS 攻撃を通じて 3,300 以上の Web サイトに影響を与えています。

1 月に特定された Balada Injector キャンペーンは、CVE-2023-6000 とラベル付けされたクロスサイト スクリプティング (XSS) の脆弱性を悪用し、CVSS 基本スコア 8.8 を誇っていました。

Sucuri は、特にバージョン 4.2.3 以前の Popup Builder の脆弱性をターゲットとした進行中のマルウェア キャンペーンによる攻撃が過去 3 週間で顕著に増加したと報告しています。

Sucuri の SiteCheck リモート マルウェア スキャンでは、1,170 以上の Web サイトで感染が特定されました。これらの攻撃に関連するドメインは、ttincoming.traveltraffic[.]cc や host.cloudsonicwave[.]com など、1 か月も経っていない 2024 年 2 月 12 日に登録されました。

動作モード

Sucuri が Cyber Security News に明らかにしたように、Popup Builder WordPress プラグインの既知の脆弱性を悪用して、攻撃者は、wp_postmeta データベース テーブルに保存されている WordPress 管理インターフェイスのカスタム JS または CSS セクションに悪意のあるコードを挿入します。

これらのインジェクションは、公式 Web サイトのポップアップ表示プロセスのさまざまな段階に対応する、sgpb-ShouldOpen、sgpb-ShouldClose、sgpb-WillOpen、sgpbDidOpen、sgpbWillClose、sgpb-DidClose などのさまざまな Popup Builder イベントをカバーします。

CVE-2023-6000 の影響を軽減する方法

軽減のため、パッチが適用されていない Popup Builder プラグインの所有者は、脆弱なプラグインを速やかに更新するか、仮想パッチ適用用の Web アプリケーション ファイアウォールを使用することをお勧めします。有害なインジェクションは、WordPress 管理インターフェイスのポップアップ ビルダーの「カスタム JS または CSS」セクションを介して削除できます。

研究者らによると、再感染を防ぐために、クライアント レベルとサーバー レベルの両方で徹底的なスキャンを行い、Web サイトの隠されたバックドアを特定することが推奨されています。この最近のマルウェア キャンペーンは、パッチが適用され更新された Web サイト ソフトウェアの保守を怠ることに伴うリスクをはっきりと思い出させます。