Vulnerabilidade do plugin de cache do WordPress afeta mais de 5 milhões de sites #ÚltimasNotícias #tecnologia

Até 5 milhões de instalações do plugin LiteSpeed ​​Cache WordPress estão vulneráveis ​​a uma exploração que permite que hackers obtenham direitos de administrador e carreguem arquivos e plugins maliciosos

A vulnerabilidade foi relatada primeiramente à Patchstack, uma empresa de segurança do WordPress, que notificou o desenvolvedor do plugin e esperou até que a vulnerabilidade fosse corrigida antes de fazer um anúncio público.

O fundador do Patchstack, Oliver Sild, discutiu isso com o Search Engine Journal e forneceu informações básicas sobre como a vulnerabilidade foi descoberta e quão séria ela é.

Sild compartilhou:

“Foi relatado por meio do programa Patchstack WordPress Bug Bounty, que oferece recompensas a pesquisadores de segurança que relatam vulnerabilidades. O relatório se qualificou para uma recompensa de US$ 14.400. Trabalhamos diretamente com o pesquisador e o desenvolvedor do plugin para garantir que as vulnerabilidades sejam corrigidas adequadamente antes da divulgação pública.

Monitoramos o ecossistema WordPress para possíveis tentativas de exploração desde o início de agosto e até agora não há sinais de exploração em massa. Mas esperamos que isso seja explorado em breve.”

Questionado sobre a gravidade dessa vulnerabilidade, Sild respondeu:

“É uma vulnerabilidade crítica, tornada particularmente perigosa por causa de sua grande base instalada. Os hackers estão definitivamente investigando isso enquanto falamos.”

O que causou a vulnerabilidade?

De acordo com o Patchstack, o comprometimento surgiu por causa de um recurso de plugin que cria um usuário temporário que rastreia o site para então criar um cache das páginas da web. Um cache é uma cópia dos recursos da página da web que são armazenados e entregues aos navegadores quando eles solicitam uma página da web. Um cache acelera as páginas da web reduzindo a quantidade de vezes que um servidor tem que buscar de um banco de dados para servir páginas da web.

A explicação técnica do Patchstack:

“A vulnerabilidade explora um recurso de simulação de usuário no plugin que é protegido por um hash de segurança fraco que usa valores conhecidos.

…Infelizmente, essa geração de hash de segurança sofre de vários problemas que tornam seus possíveis valores conhecidos.”

Continue após a publicidade

Recomendação

Usuários do plugin LiteSpeed ​​WordPress são encorajados a atualizar seus sites imediatamente porque hackers podem estar caçando sites WordPress para explorar. A vulnerabilidade foi corrigida na versão 6.4.1 em 19 de agosto.

Usuários da solução de segurança Patchstack WordPress recebem mitigação instantânea de vulnerabilidades. O Patchstack está disponível em uma versão gratuita e a versão paga custa apenas US$ 5/mês.

Leia mais sobre a vulnerabilidade:

Escalação de privilégios críticos no plugin LiteSpeed ​​Cache afetando mais de 5 milhões de sites

Imagem em destaque por Shutterstock/Asier Romero