Cảnh báo lỗ hổng nguy hiểm cho phép tấn công mọi website wordpress

Một nhà nghiên cứu Phần Lan đã phát hiện ra lỗ hổng nguy hiểm trong công cụ cốt lõi của phần mềm quản lý nội dung WordPress, cho phép tin tặc thực thi mã từ xa trên máy chủ Web để có thể chiếm quyền điều khiển trang. Lỗ hổng XSS ẩn trong hệ thống của WordPress, gây ảnh hưởng đến các phiên bản 3.9.3, 4.1.1, 4.1.2 và thậm chí là cả phiên bản 4.2 mới nhất.

Với lỗ hổng này, tin tặc có thể cài mã JavaScript độc hại vào phần bình luận xuất hiện dưới mỗi bài viết, blog trên WordPress ở phạm vi toàn thế giới. Sau đó chúng thêm khoảng 66 nghìn ký tự khác, tương đương với hơn 64 KB dữ liệu. Khi quản trị viên trang web đăng nhập, theo thiết lập mặc định, kẻ tấn công có thể tận dụng lỗ hổng để thực thi mã tùy ý trên máy chủ thông qua các plugin và theme biên tập. Và khi admin của trang web xử lý bình luận, mã độc sẽ được thực thi mà không có bất kỳ dấu hiệu bất thường nào.

Tin tặc có thể đánh lừa admin của trang web bằng những bình luận đơn thuần đầu tiên, không chứa mã độc. Bởi theo mặc định, WordPress không thể tự động cho đăng bình luận của người dùng cho đến khi admin phê duyệt và cho phép. Vì thế, sau những bình luận không độc hại ban đầu mà admin cho đăng tải, sau đó tin tặc sẽ đưa ra bình luận chứa mã độc và nó sẽ được tự động phê duyệt công khai. Khi trang web đã nhiễm mã độc, tin tặc sẽ có khả năng thay đổi mật khẩu, thêm tài khoản admin mới hoặc tiến hành một số thay đổi khác mà theo quy định, chỉ admin hợp pháp của trang web mới có quyền.

Cho tới nay, WordPress vẫn chưa đưa ra được những bản vá lỗ hổng chính thức. Vì thế, người dùng sở hữu một trang wordpress riêng của mình nên tiến hành cập nhật nâng cấp CMS để tránh nhiễm độc.

Theo THN