Uma falha de segurança de alta severidade foi divulgada no plugin LiteSpeed Cache para WordPress, que poderia permitir que um agente de ameaças não autenticado elevasse seus privilégios para executar ações maliciosas.
A vulnerabilidade, rastreada como
CVE-2024-50550
(pontuação CVSS: 8.1), foi corrigida na versão 6.5.2 do plugin.
"O plugin sofre de uma vulnerabilidade de escalonamento de privilégio não autenticada, que permite a qualquer visitante não autenticado obter acesso ao nível de administrador, após o qual plugins maliciosos poderiam ser carregados e instalados", disse o pesquisador de segurança da Patchstack, Rafie Muhammad, em uma análise.
LiteSpeed Cache é um popular plugin de aceleração de sites para WordPress que, como o nome indica, vem com funcionalidades avançadas de caching e recursos de otimização.
Ele está instalado em mais de seis milhões de sites.
O problema recém-identificado, segundo a Patchstack, está enraizado em uma função chamada is_role_simulation e é semelhante a um defeito anterior que foi documentado publicamente em agosto de 2024 (
CVE-2024-28000
, pontuação CVSS: 9.8).
Ele decorre do uso de uma verificação de hash de segurança fraca que poderia ser forçada bruta por um agente mal-intencionado, permitindo assim que o recurso de rastreamento fosse abusado para simular um usuário logado, incluindo um administrador.
No entanto, uma exploração bem-sucedida depende da seguinte configuração do plugin:
Crawler -> Configurações Gerais -> Crawler: ON
Crawler -> Configurações Gerais -> Duração da Execução: 2500 – 4000
Crawler -> Configurações Gerais -> Intervalo Entre Execuções: 2500 – 4000
Crawler -> Configurações Gerais -> Limite de Carga do Servidor: 0
Crawler -> Configurações de Simulação -> Simulação de Função: 1 (ID do usuário com papel de administrador)
Crawler -> Resumo -> Ativar: Coloque todos os campos em OFF exceto Administrador
A correção implementada pelo LiteSpeed remove o processo de simulação de função e atualiza a etapa de geração de hash usando um gerador de valores aleatórios para evitar limitar os hashes a 1 milhão de possibilidades.
"Esta vulnerabilidade destaca a importância crítica de assegurar a força e imprevisibilidade dos valores que são usados como hashes de segurança ou nonces," disse Muhammad.
As funções rand() e mt_rand() em PHP retornam valores que podem ser 'suficientemente aleatórios' para muitos casos de uso, mas eles não são imprevisíveis o suficiente para serem usados em recursos relacionados à segurança, especialmente se mt_srand é usado com possibilidade limitada.
CVE-2024-50550
é a terceira falha de segurança a ser divulgada no LiteSpeed nos últimos dois meses, sendo as outras duas CVE-2024-44000 (pontuação CVSS: 7.5) e CVE-2024-47374 (pontuação CVSS: 7.2).
Essa divulgação ocorre semanas após a Patchstack detalhar duas falhas críticas no Ultimate Membership Pro que poderiam resultar em escalonamento de privilégio e execução de código.
Mas as deficiências foram abordadas na versão 12.8 e posteriores.
CVE-2024-43240
(pontuação CVSS: 9.4) - Uma vulnerabilidade de escalonamento de privilégio não autenticada que poderia permitir a um atacante se registrar em qualquer nível de associação e obter o papel a ele vinculado
CVE-2024-43242
(pontuação CVSS: 9.0) - Uma vulnerabilidade de injeção de objeto PHP não autenticada que poderia permitir a um atacante executar código arbitrário.
A Patchstack também está alertando que o drama legal em andamento entre a Automattic, a empresa-mãe do WordPress, e a WP Engine levou alguns desenvolvedores a abandonar o repositório WordPress.org, necessitando que os usuários monitorem canais de comunicação apropriados para garantir que estão recebendo as últimas informações sobre possíveis fechamentos de plugins e questões de segurança.
Usuários que falham em instalar manualmente plugins removidos do repositório WordPress.org correm o risco de não receber novas atualizações que podem incluir correções de segurança importantes", disse o CEO da Patchstack, Oliver Sild.
Isso pode deixar websites expostos a hackers que comumente exploram vulnerabilidades conhecidas e podem tirar vantagem de tais situações.
Publicidade
Em 14 de janeiro a Solyd irá revolucionar a forma como pentest e hacking deve ser ensinado. Se inscreva para ser o primeiro a saber das novidades. Saiba mais...