Luka w zabezpieczeniach wtyczki LiteSpeed Cache ujawnia dostęp administratora WordPress

Popularna wtyczka WordPress LiteSpeed Cache została niedawno naprawiona i wyeliminowana z poważnej luki w zabezpieczeniach, która umożliwia atakującym przejęcie kontroli nad podatnymi na ataki stronami internetowymi. Luka oznaczona numerem CVE-2024-50550 dotyczy problemu z podniesieniem uprawnień, który może umożliwić niezweryfikowanym użytkownikom uzyskanie dostępu administracyjnego do witryn WordPress.

Odkrycie i wpływ CVE-2024-50550

Tajwański badacz zidentyfikował lukę i zgłosił ją firmie zajmującej się bezpieczeństwem WordPressa, Patchstack, 23 września. Problem wynika ze słabej kontroli skrótu w funkcji „symulacji roli” LiteSpeed Cache, zaprojektowanej, aby pomóc robotom indeksującym witryny symulować różne poziomy użytkowników w celu optymalizacji dostarczania treści.

Funkcja „is_role_simulation()”, opierała się na „litespeed_hash” i „litespeed_flash_hash”, dwóch wartościach skrótu przechowywanych w plikach cookie. Jednak skróty zostały wygenerowane z niewystarczającym czynnikiem losowym, co czyni je przewidywalnymi i podatnymi na atak siłowy.

Firma wydała poprawioną wersję podatnej na ataki wtyczki

Chociaż lukę w zabezpieczeniach udało się już załatać, nie należy jej lekceważyć, ponieważ umożliwiała ona atakującym podszywanie się pod administratorów poprzez wykorzystywanie podatnych skrótów.

Po uzyskaniu uprawnień administratora cyberprzestępcy mogą potencjalnie wdrażać złośliwe wtyczki, zmieniać zawartość witryny, uzyskiwać dostęp do baz danych zaplecza lub instalować tylne drzwi w celu zapewnienia sobie trwałości.

Ryzyko związane z tą luką jest znacznie większe, jeśli weźmiemy pod uwagę fakt, że podatna na nią wtyczka jest zainstalowana na mniej więcej sześciu milionach witrynach WordPress.

Oś czasu wydarzeń i reakcji na zagrożenia

Po odkryciu luki PatchStack powiadomił LiteSpeed Technologies, firmę stojącą za dotkniętą wtyczką. Do 10 października programiści stworzyli exploit Proof-of-Concept (PoC) i udostępnili go LiteSpeed, aby pomóc im rozwiązać problem.

Tydzień później firma wydała poprawioną wersję (6.5.2) podatnej na atak wtyczki, która zwiększyła losowość podatnych na atak skrótów, rozwiązując w ten sposób problem poprzez ograniczenie ryzyka ataków siłowych.

Łagodzenie potencjalnego ryzyka

Niestety, pod koniec października tylko około dwóch milionów stron internetowych nadało priorytet aktualizacji podatnych na ataki wtyczek do bezpiecznych wersji, co oznacza, że około cztery miliony stron nadal jest narażonych na potencjalne ataki.

„Właściciele i administratorzy witryn powinni w pierwszej kolejności zaktualizować wtyczkę do najnowszej wersji, aby zapewnić sobie ochronę przed atakami wykorzystującymi podatne na ataki skróty. Warto także, aby pamiętali o podstawowych zasadach cyberhigieny, takich jak: ustanowienie unikatowych i skomplikowanych haseł dla administratorów oraz zabezpieczeniu swoich komputerów za pomocą skutecznego systemu antywirusowego” – mówi Arkadiusz Kraszewski z firmy Marken Systemy Antywirusowe, polskiego dystrybutora oprogramowania Bitdefender.