Lỗ hổng trong WordPress SEO by Yoast ảnh hưởng đến khoảng 10 triệu trang web

Một lỗ hổng nghiêm trọng vừa được phát hiện trong plugin của nền tảng quản lí nội dung WordPress khiến khoảng 10 triệu trang web có nguy cơ bị tấn công bởi tin tặc.

Lỗ hổng nằm trong hầu hết các phiên bản của plugin ‘WordPress SEO by Yoast,’ với hơn 14 triệu lượt tải về. Đây là một trong những plugin phổ biến nhất của WordPress tối ưu hóa trang web cho các công cụ tìm kiếm (Search engine optimization – SEO).

Lỗ hổng trong WordPress SEO by Yoast được phát hiện bởi Ryan Dewhurst, nhà phát triển công cụ quét lỗ hổng WordPress ‘WPScan’. Tất cả các phiên bản trước 1.7.3.3 của WordPress SEO by Yoast đều có nguy cơ bị tấn công Blind SQL Injection. Lỗ hổng SQL Injection (SQLi) được đánh giá là nghiêm trọng bởi nó khiến cơ sở dữ liệu bị rò rỉ và dẫn đến rò rỉ thông tin mật. Trong một cuộc tấn công SQLi thông thường, tin tặc sẽ chèn vào một truy vấn SQL đặc biệt vào một ứng dụng thông qua đầu vào phía client.

Tuy nhiên, trong kịch bản này, một tin tặc không thể tự mình thực hiện bởi lỗ hổng thực ra nằm tại file ‘admin/class-bulk-editor-list-table.php‘ vốn dùng để xác thực truy cập bởi quản trị viên, người biên tập hoặc người viết bài WordPress. Vì vậy, để  khai thác thành công lỗ hổng này, đòi hỏi phải khai thác từ một người dùng đã xác thực. Điều này chỉ có thể thực hiện với sự giúp đỡ của social engineering, nơi tin tặc có thể lừa người dùng nhấn vào URL chứa payload khai thác đặc biệt.

Nếu người dùng WordPress đã nhấn vào đường dẫn, tin tặc có thể khai thác để thực thi truy vấn SQL tùy ý trên trang web WordPress. Ryan cũng đưa ra một bản chứng minh (POC) payload của lỗ hổng Blind SQL Injection trong ‘WordPress SEO by Yoast’:

http://victim-wordpress-website.com/wp-admin/admin.php?page=wpseo_bulk-editor&type=title&orderby=post_date%2c(select%20*%20from%20(select(sleep(10)))a)&order=asc

Tuy nhiên, lỗ hổng được báo cáo đã được vá trong phiên bản mới nhất WordPress SEO by Yoast (1.7.4). Những thay đổi được đề cập trong phiên bản này là “Sửa chữa CSRF và lỗ hổng Blind SQL Injection trong bulk editor”. Nhiều người tin rằng việc không cài đặt WordPress Yoast for SEO thì trang WordPress của bạn sẽ rất không hoàn thiện. Vì vậy lỗ hổng này đặc biệt nghiêm trọng khi nhiều người sử dụng do muốn tăng hạng trong công cụ tìm kiếm. Nếu bạn đã cài đặt WordPress 3.7 trở lên, bạn có thể bật tính năng tự động cập nhật plugin và theme từ Manage > Plugins & Themes > Auto Updates.

THN