SK-CERT Bezpečnostné varovanie V20241122-01
| Dôležitosť | Kritická |
| Klasifikácia | Neutajované/TLP:CLEAR |
| CVSS Skóre |
9.8 |
| Identifikátor |
| Pluginy redakčného systému WordPress – päť kritických bezpečnostných zraniteľností |
| Popis |
| Vývojári pluginov pre redakčný systém WordPress vydali bezpečnostné aktualizácie svojich produktov, ktoré opravujú viacero bezpečnostných zraniteľností, z ktorých je päť označených ako kritických. Kritická bezpečnostná zraniteľnosť s identifikátorom CVE-2024-8856 sa nachádza vo WP plugine Backup and Staging by WP Time Capsule, spočíva v nedostatočnej implementácii bezpečnostných mechanizmov a umožňuje vzdialenému, neautentifikovanému útočníkovi prostredníctvom zaslania špeciálne vytvorených súborov vykonať škodlivý kód s následkom úplného narušenia dôvernosti, integrity a dostupnosti systému. Zneužitím ostatných bezpečnostných zraniteľností možno získať neoprávnený prístup k citlivým údajom, vykonať neoprávnené zmeny v systéme, spôsobiť zneprístupnenie služby, eskalovať privilégiá a vykonať škodlivý kód. Zneužitie niektorých zraniteľností vyžaduje interakciu zo strany používateľa. |
| Dátum prvého zverejnenia varovania |
| 21.11.2024 |
| CVE |
| CVE-2024-8856, CVE-2024-52414, CVE-2024-10645, CVE-2024-52413, CVE-2024-10855, CVE-2024-52415, CVE-2024-52434, CVE-2024-9192, CVE-2024-10728, CVE-2024-9849, CVE-2024-11194, CVE-2024-52424, CVE-2024-9839, CVE-2024-10913, CVE-2024-9935, CVE-2024-10899, CVE-2024-52436, CVE-2024-10311, CVE-2024-52435, CVE-2024-9887, CVE-2024-10388, CVE-2024-10645, CVE-2024-11036, CVE-2024-10899, CVE-2024-11038, CVE-2024-11194, CVE-2024-11409, CVE-2024-11107, CVE-2024-10788, CVE-2024-10898, CVE-2024-11601, CVE-2024-11104, CVE-2024-5029 |
| IOC |
| – |
| Zasiahnuté systémy |
| Backup and Staging by WP Time Capsule vo verzii staršej ako 1.22.22 Popup by Supsystic vo verzii staršej ako 1.10.30 SK WP Settings Backup vo verzii staršej ako (vrátane) 1.0 WDES Responsive Mobile Menu vo verzii staršej ako 5.3.18 Airin Blog vo verzii staršej ako 1.6.3 Real3D Flipbook Lite – 3D FlipBook, PDF Viewer, PDF Embedder vo verzii staršej ako 4.8.5 Clone vo verzii staršej ako 2.4.7 Post Grid Gutenberg Blocks and WordPress Blog Plugin – PostX vo verzii staršej ako 4.1.17 Blogger 301 Redirect vo verzii staršej ako (vrátane) 2.5.3 Image Optimizer, Resizer and CDN – Sirv vo verzii staršej ako 7.3.1 Classified Listing – Classified ads & Business Directory Plugin vo verzii staršej ako 3.1.16 WooCommerce Product Table Lite vo verzii staršej ako 3.8.7 Uix Slideshow vo verzii staršej ako (vrátane) 1.6.5 WordPress Video Robot – The Ultimate Video Importer vo verzii staršej ako 1.20.0 PDF Generator Addon for Elementor Page Builder vo verzii staršej ako 1.7.5 wp-login customizer vo verzii staršej ako (vrátane) 1.0 External Database Based Actions vo verzii staršej ako (vrátane) 0.1 Login using WordPress Users ( WP as SAML IDP ) vo verzii staršej ako 1.15.7 Post SMTP vo verzii staršej ako 2.9.10 Premium Packages vo verzii staršej ako 5.9.3 WordPress GDPR vo verzii staršej ako 2.0.3 Blogger 301 Redirect vo verzii staršej ako 2.5.3 WPB Popup for Contact Form 7 – Showing The Contact Form 7 Popup on Button Click – CF7 Popup vo verzii staršej ako 1.7.6 GamiPress – The #1 gamification plugin to reward points, achievements, badges & ranks in WordPress vo verzii staršej ako 7.1.6 Classified Listing – Classified ads & Business Directory Plugin vo verzii staršej ako 3.1.16 WooCommerce Product Table Lite vo verzii staršej ako 3.8.7 Grid View Gallery vo verzii staršej ako (vrátane) 1.0 System Dashboard vo verzii staršej ako 2.8.15 Activity Log – Monitor & Record User Changes vo verzii staršej ako 2.11.2 Contact Form 7 Email Add on vo verzii staršej ako (vrátane) 1.9 Sky Addons for Elementor (Free Templates Library, Live Copy, Animations, Post Grid, Post Carousel, Particles, Sliders, Chart, Blog, Video Gallery) vo verzii staršej ako 2.6.2 (CVE-2024-11601) a 2.6.3 (CVE-2024-11104) CM Table Of Contents – WordPress TOC Plugin vo verzii staršej ako 1.2.4 |
| Následky |
| Vykonanie škodlivého kódu a úplné narušenie dôvernosti, integrity a dostupnosti systému Eskalácia privilégií Neoprávnený prístup k citlivým údajom Neoprávnená zmena v systéme Zneprístupnenie služby |
| Odporúčania |
| Odporúčame uistiť sa, či Vaše webové stránky a aplikácie založené na redakčnom systéme WordPress nevyužívajú predmetné pluginy v zraniteľných verziách. V prípade, že áno, administrátorom SK-CERT odporúča: – v prípade, že sa jedná o pluginy s ukončenou podporou, predmetné pluginy odinštalovať – v prípade, že sa jedná o pluginy, pre ktoré nie sú v súčasnosti dostupné bezpečnostné aktualizácie, predmetné pluginy až do vydania záplat deaktivovať alebo odinštalovať – v prípade, že sa jedná o pluginy, pre ktoré sú dostupné bezpečnostné záplaty, predmetné pluginy aktualizovať – vo všetkých prípadoch preveriť logy na prítomnosť pokusov o zneužitie zraniteľností – vo všetkých prípadoch preveriť integritu databázy a samotného redakčného systému Po odstránení zraniteľností, ktoré mohli spôsobiť získanie prístupu k citlivým údajom alebo vzdialené vykonanie kódu, je dobrou praxou zmena všetkých hesiel a kľúčov na dotknutom systéme a aj na iných systémoch, kde sa používalo rovnaké heslo či kľúč. Taktiež odporúčame poučiť používateľov, aby neotvárali neoverené e-mailové správy, prílohy z neznámych zdrojov a nenavštevovali nedôveryhodné webové stránky. |
« Späť na zoznam
