SK-CERT Bezpečnostné varovanie V20241202-02
| Dôležitosť | Kritická |
| Klasifikácia | Neutajované/TLP:CLEAR |
| CVSS Skóre |
9.8 |
| Identifikátor |
| Pluginy redakčného systému WordPress – viacero kritických bezpečnostných zraniteľností |
| Popis |
| Vývojári pluginov pre redakčný systém WordPress vydali bezpečnostné aktualizácie svojich produktov, ktoré opravujú viacero bezpečnostných zraniteľností, z ktorých je viacero označených ako kritických. Kritická bezpečnostná zraniteľnosť s identifikátorom CVE-2024-9659 sa nachádza vo WordPress plugine School Management System for WordPress, spočíva v nedostatočnej implementácii bezpečnostných mechanizmov a umožňuje vzdialenému, neautentifikovanému útočníkovi prostredníctvom zaslania špeciálne vytvorených súborov vykonať škodlivý kód s následkom úplného narušenia dôvernosti, integrity a dostupnosti systému. Zneužitím ostatných bezpečnostných zraniteľností možno získať neoprávnený prístup k citlivým údajom, vykonať neoprávnené zmeny v systéme, spôsobiť zneprístupnenie služby, eskalovať privilégiá a vykonať škodlivý kód. Zneužitie niektorých zraniteľností vyžaduje interakciu zo strany používateľa. |
| Dátum prvého zverejnenia varovania |
| 29.11.2024 |
| CVE |
| CVE-2024-9659, CVE-2024-10961, CVE-2024-9422, CVE-2024-9942, CVE-2024-10873, CVE-2024-11415, CVE-2024-9511, CVE-2024-11024, CVE-2024-10871, CVE-2024-10508, CVE-2024-10589, CVE-2024-10542, CVE-2024-10729, CVE-2024-10781, CVE-2024-10570, CVE-2024-9461, CVE-2024-10261, CVE-2024-10640, CVE-2024-53736, CVE-2024-53735, CVE-2024-9504, CVE-2024-53727, CVE-2024-53728, CVE-2024-53730, CVE-2024-53732, CVE-2024-53733, CVE-2024-53734, CVE-2024-11925, CVE-2024-8672, CVE-2024-11082, CVE-2024-11103, CVE-2024-9669, CVE-2024-8066 |
| IOC |
| – |
| Zasiahnuté systémy |
| School Management System for WordPress vo verzii staršej ako 92.0.0 Social Login vo verzii staršej ako 5.9.0 (vrátane) GEO my WordPress vo verzii staršej ako 4.5 WPGYM – WordPress Gym Management System vo verzii staršej ako 67.2.0 LA-Studio Element Kit for Elementor vo verzii staršej ako 1.4.3 WP-Orphanage Extended vo verzii staršej ako 1.3 FluentSMTP – WP SMTP Plugin with Amazon SES, SendGrid, MailGun, Postmark, Google and Any SMTP Provider vo verzii staršej ako 2.2.83 Spam protection, Anti-Spam, FireWall by CleanTalk vo verzii staršej ako 6.44 AppPresser – Mobile App Framework vo verzii staršej ako 4.4.7 Category Ajax Filter vo verzii staršej ako 2.8.3 RegistrationMagic – User Registration Plugin with Custom Registration Forms vo verzii staršej ako 6.0.2.7 Leopard – WordPress Offload Media vo verzii staršej ako 3.1.2 Booking & Appointment Plugin for WooCommerce vo verzii staršej ako 6.10.0 Spam protection, Anti-Spam, FireWall by CleanTalk vo verzii staršej ako 6.45 Security & Malware scan by CleanTalk vo verzii staršej ako 2.145.1 Total Upkeep – WordPress Backup Plugin plus Restore & Migrate by BoldGrid vo verzii staršej ako 1.16.7 Paid Membership Subscriptions – Effortless Memberships, Recurring Payments & Content Restriction vo verzii staršej ako 2.13.1 FOX – Currency Switcher Professional for WooCommerce vo verzii staršej ako 1.4.2.3 Custom Shortcode Sidebars vo verzii staršej ako 1.2 (vrátane) iPhone Webclip Manager vo verzii staršej ako 0.5 (vrátane) Security & Malware scan by CleanTalk vo verzii staršej ako 2.145.1 Booking calendar, Appointment Booking System vo verzii staršej ako 3.2.16 LinkLaunder SEO vo verzii staršej ako 0.92.1 (vrátane) Protect Your Content vo verzii staršej ako 1.0.2 (vrátane) April's Call Posts vo verzii staršej ako 2.1.1 (vrátane) Footer Flyout Widget vo verzii staršej ako 1.1 (vrátane) Fence URL vo verzii staršej ako 2.0.0 (vrátane) Idealien Category Enhancements vo verzii staršej ako 1.2 (vrátane) JobSearch WP Job Board vo verzii staršej ako 2.6.8 Widget Options – The #1 WordPress Widget & Block Control Plugin vo verzii staršej ako 4.0.8 Photos, Files, YouTube, Twitter, Instagram, TikTok, Ecommerce Contest Gallery – Upload, Vote, Sell via PayPal, Social Share Buttons vo verzii staršej ako 24.0.8 Tumult Hype Animations vo verzii staršej ako 1.9.16 File Manager Pro – Filester vo verzii staršej ako 1.8.6 (CVE-2024-9669) File Manager Pro – Filester vo verzii staršej ako 1.8.5 (CVE-2024-8066) |
| Následky |
| Vykonanie škodlivého kódu a úplné narušenie dôvernosti, integrity a dostupnosti systému Eskalácia privilégií Neoprávnený prístup k citlivým údajom Neoprávnená zmena v systéme Zneprístupnenie služby |
| Odporúčania |
| Odporúčame uistiť sa, či Vaše webové stránky a aplikácie založené na redakčnom systéme WordPress nevyužívajú predmetné pluginy v zraniteľných verziách. V prípade, že áno, administrátorom SK-CERT odporúča: – v prípade, že sa jedná o pluginy s ukončenou podporou, predmetné pluginy odinštalovať – v prípade, že sa jedná o pluginy, pre ktoré nie sú v súčasnosti dostupné bezpečnostné aktualizácie, predmetné pluginy až do vydania záplat deaktivovať alebo odinštalovať – v prípade, že sa jedná o pluginy, pre ktoré sú dostupné bezpečnostné záplaty, predmetné pluginy aktualizovať – vo všetkých prípadoch preveriť logy na prítomnosť pokusov o zneužitie zraniteľností – vo všetkých prípadoch preveriť integritu databázy a samotného redakčného systému Po odstránení zraniteľností, ktoré mohli spôsobiť získanie prístupu k citlivým údajom alebo vzdialené vykonanie kódu, je dobrou praxou zmena všetkých hesiel a kľúčov na dotknutom systéme a aj na iných systémoch, kde sa používalo rovnaké heslo či kľúč. Taktiež odporúčame poučiť používateľov, aby neotvárali neoverené e-mailové správy, prílohy z neznámych zdrojov a nenavštevovali nedôveryhodné webové stránky. |
« Späť na zoznam
