Oficiálna stránka SK

Doména gov.sk je oficálna

Toto je oficiálna webová stránka orgánu verejnej moci Slovenskej republiky. Oficiálne stránky využívajú najmä doménu gov.sk. Odkazy na jednotlivé webové sídla orgánov verejnej moci nájdete na tomto odkaze.

Táto stránka je zabezpečená

Buďte pozorní a vždy sa uistite, že zdieľate informácie iba cez zabezpečenú webovú stránku verejnej správy SR. Zabezpečená stránka vždy začína https:// pred názvom domény webového sídla.

SK-CERT Bezpečnostné varovanie V20241008-01

Dôležitosť Kritická
Klasifikácia Neutajované/TLP:CLEAR
CVSS Skóre
9.8
Identifikátor
Pluginy redakčného systému WordPress – dve kritické bezpečnostné zraniteľnosti
Popis
Vývojári pluginov pre redakčný systém WordPress vydali bezpečnostné aktualizácie svojich produktov, ktoré opravujú viacero bezpečnostných zraniteľností, z ktorých sú dve označené ako kritické.
Kritická bezpečnostná zraniteľnosť s identifikátorom CVE-2024-9289 sa nachádza vo WP plugine WordPress & WooCommerce Affiliate Program, spočíva v nedostatočnej implementácii mechanizmov autentifikácie a umožňuje vzdialenému, neautentifikovanému útočníkovi eskalovať svoje privilégiá a následne získať úplnú kontrolu nad systémom.
Eskalácia privilégií na administrátora je možná len ak útočník získa prístup k emailovej schránke administrátora.
Bezpečnostná zraniteľnosť s identifikátorom CVE-2024-47374 sa nachádza vo WP plugine LiteSpeed Cache, spočíva v nedostatočnom overovaní používateľských vstupov a umožňuje vzdialenému, neautentifikovanému útočníkovi prostredníctvom cross-site scripting (XSS) útoku vykonať škodlivý kód a následne získať neoprávnený prístup k citlivým údajom a vykonať neoprávnené zmeny v systéme.
Podmienkou na zneužitie predmetnej zraniteľnosti sú zapnuté nastavenia CSS Combine a Generate UCSS.
Zneužitím ostatných bezpečnostných zraniteľností možno získať neoprávnený prístup k citlivým údajom, eskalovať privilégiá a vykonať škodlivý kód.
Na zraniteľnosť s identifikátorom CVE-2024-47374 je v súčasnosti voľne dostupný Proof-of-Concept kód.
Dátum prvého zverejnenia varovania
4.10.2024
CVE
CVE-2024-9289, CVE-2024-9265, CVE-2024-7855, CVE-2024-8352, CVE-2024-47374
IOC
Zasiahnuté systémy
WordPress & WooCommerce Affiliate Program vo verzii staršej ako 8.5.0
Echo RSS Feed Post Generator vo verzii staršej ako 5.4.7
WP Hotel Booking vo verzii staršej ako 2.1.3
Social Web Suite – Social Media Auto Post, Social Media Auto Publish vo verzii staršej ako 4.1.12
LiteSpeed Cache vo verzii staršej ako 6.5.1
Následky
Vykonanie škodlivého kódu a úplné narušenie dôvernosti, integrity a dostupnosti systému
Neoprávnený prístup do systému a úplné narušenie dôvernosti, integrity a dostupnosti systému
Eskalácia privilégií
Neoprávnený prístup k citlivým údajom
Odporúčania
Odporúčame uistiť sa, či Vaše webové stránky a aplikácie založené na redakčnom systéme WordPress nevyužívajú predmetné pluginy v zraniteľných verziách. V prípade, že áno, administrátorom SK-CERT odporúča:
– v prípade, že sa jedná o pluginy s ukončenou podporou, predmetné pluginy odinštalovať
– v prípade, že sa jedná o pluginy, pre ktoré nie sú v súčasnosti dostupné bezpečnostné aktualizácie, predmetné pluginy až do vydania záplat deaktivovať alebo odinštalovať
– v prípade, že sa jedná o pluginy, pre ktoré sú dostupné bezpečnostné záplaty, predmetné pluginy aktualizovať
– vo všetkých prípadoch preveriť logy na prítomnosť pokusov o zneužitie zraniteľností
– vo všetkých prípadoch preveriť integritu databázy a samotného redakčného systému
Po odstránení zraniteľností, ktoré mohli spôsobiť získanie prístupu k citlivým údajom alebo vzdialené vykonanie kódu, je dobrou praxou zmena všetkých hesiel a kľúčov na dotknutom systéme a aj na iných systémoch, kde sa používalo rovnaké heslo či kľúč.
Zdroje
https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/wp-wc-affiliate-program/wordpress-woocommerce-affiliate-program-841-authentication-bypass-to-account-takeover-and-privilege-escalation
https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/rss-feed-post-generator-echo/echo-rss-feed-post-generator-546-unauthenticated-privilege-escalation
https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/wp-hotel-booking/wp-hotel-booking-212-authenticated-subscriber-arbitrary-file-upload
https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/social-web-suite/social-web-suite-social-media-auto-post-social-media-auto-publish-4111-directory-traversal-to-arbitrary-file-download
https://patchstack.com/articles/unauthenticated-stored-xss-vulnerability-in-litespeed-cache-plugin-affecting-6-million-sites/
https://thehackernews.com/2024/10/wordpress-litespeed-cache-plugin.html

« Späť na zoznam