Wordfence công bố 3 lỗ hổng nghiêm trọng với điểm CVSS 9,8/10

Đầu tháng 11, Wordfense - một tổ chức chuyên cung cấp giải pháp bảo mật cho WordPress đã công bố lỗi bảo mật CVE-2024-10924 (điểm CVSS: 9,8) mức độ nghiêm trọng trên plugin Really Simple Security (trước đây là Really Simple SSL) dành cho WordPress.

Lỗ hổng bảo mật này cho phép kẻ tấn công bỏ qua xác thực người dùng và có thể đăng nhập tư cách là bất kỳ người dùng nào hiện có trên trang web, thậm chí quản trị viên khi tính năng xác thực hai yếu tố được bật. Theo Wordfence, đây là một trong những lỗi bảo mật nghiêm trọng nhất trong lịch sử 12 năm công ty này cung cấp giải pháp cho Wordpress.

Lỗi bảo mật được tìm thấy trong các phiên bản 9.0.0 đến 9.1.1.1, do có lỗi trong một hàm có tên là "check_login_and_get_user" dùng để kiểm tra đăng nhập và lấy thông tin người dùng.

Đáng chú ý là lỗ hổng này có thể lập trình được, nghĩa là nó có thể biến thành một cuộc tấn công tự động quy mô lớn, nhắm vào các trang web WordPress. Cả hai phiên bản trả phí và miễn phí của plugin này đều bị ảnh hưởng bởi lỗi bảo mật này. Wordfence cho biết plugin này được cài đặt trên hơn 4 triệu trang WordPress.

Hiện lỗi đã được sửa ở phiên bản  9.1.2 của plugin. Do mức độ nghiêm trọng lớn, Wordpress đã làm việc với nhóm plugin để thực hiện cập nhật bắt buộc tất cả các trang web đang chạy plugin này trước khi công khai thông tin lỗi bảo mật, tuy nhiên với các website không có giấy phép hợp lệ có thể không có chức năng cập nhật tự động.

Tiếp sau đó, ngày 25/11/2024, Wordfence tiếp tục thông báo tìm ra hai lỗ hổng bảo mật trên plugin bảo vệ Spam, Anti-Spam và FireWall WordPress. Các lỗ hổng này cho phép kẻ tấn công chưa xác thực cài đặt và kích hoạt các plugin độc hại trên các trang web dễ bị tấn công, thậm chí thực thi mã từ xa. Hai lỗ được theo dõi với mã hiệu là CVE-2024-10542 và CVE-2024-10781, có điểm CVSS là 9,8 trên mức tối đa là 10,0. 

Theo Wordfence, cả hai lỗ hổng đều liên quan đến vấn đề bỏ qua ủy quyền có thể cho phép kẻ tấn công độc hại cài đặt và kích hoạt các plugin tùy ý.

Do vậy, với các website đang sử dụng nền tảng Wordpress, cần kiểm tra lại để đảm bảo các plugin sử dụng đã được cập nhật lên phiên bản đã sửa lỗi.