Lỗi bảo mật mới trong lõi của Wordpress giúp cho tài khoản đặc quyền thấp có thể chiếm quyền điều khiển và thực thi mã tùy ý trên máy chủ.
Theo đó, các nhà nghiên cứu thuộc RIPS Technologies GmbH đã phát hiện ra lỗi bảo mật này, giúp kẻ tấn công có thể xóa tùy ý các tập tin. Lỗi này đã được báo cáo 7 tháng trước cho đội bảo mật của WordPress, nhưng đến nay vẫn chưa có bản vá. Lỗi ảnh hưởng đến toàn bộ phiên bản của WordPress bao gồm phiên bản mới nhất 4.9.6.
Lỗ hổng này tồn tại ở một trong các chức năng chính và chạy trong nền của WordPress, khi người dùng xóa hình thu nhỏ (thumbnail) của tập tin ảnh đã tải lên.
Các nhà nghiên cứu phát hiện chức năng xóa hình thumbnail chấp nhận đầu vào không an toàn, từ đó có thể cho phép người dùng với quyền hạn chế, hoặc một quyền author có thể xóa bất kỳ tập tin ảnh nào khỏi thư viện, điều vốn chỉ được cho phép bởi máy chủ hoặc người quản trị viên.
Yêu cầu ít nhất một tài khoản tác giả (author) sẽ tự động làm giảm mức độ nghiêm trọng của lỗ hổng này ở mức độ nào đó. Nhưng tài khoản này vẫn có thể bị khai thác bởi một tài khoản đóng góp nội dung hoặc một hacker bằng cách thức lừa đảo, sử dụng lại mật khẩu hoặc các cuộc tấn công khác.
Bằng cách sử dụng lỗ hổng này, hacker có thể xóa bất kỳ tập tin quan trọng nào như “.htaccess” – thường chứa các cấu hình liên quan đến bảo mật – nhằm vô hiệu hóa tính năng bảo vệ. Hoặc xóa “wp-config.php” – một trong những tập tin cấu hình quan trọng nhất trong cài đặt WordPress có chứa thông tin kết nối cơ sở dữ liệu – có thể buộc toàn bộ website phải quay lại màn hình cài đặt, điều này giúp hacker cấu hình lại website từ trình duyệt và toàn quyền kiểm soát nó.
Nhưng cũng cần lưu ý rằng hacker tuy không thể đọc trực tiếp nội dung của tệp wp-config.php để biết tên cơ sở dữ liệu hiện có (gồm tên cơ sở dữ liệu, username, mật khẩu mysql), thì kẻ tấn công vẫn có thể thiết lập lại website mục tiêu bằng cách sử dụng máy chủ cơ sở dữ liệu từ xa trong tầm kiểm soát của chúng.
Khi thành công, hacker có thể tạo một tài khoản admin mới và toàn quyền kiểm soát website, bao gồm cả việc thực thi mã trên máy chủ.
Các nhà nghiên cứu nói: “Bên cạnh việc có thể xóa toàn bộ cài đặt WordPress, điều khiến gây hậu quả tai hại nếu website không có bản sao lưu. Kẻ tấn công có thể sử dụng khả năng xóa tập tin tùy ý để phá vỡ một số biện pháp bảo mật và thực thi mã tùy ý trên máy chủ.”
Các nhà nghiên cứu cũng công bố video chứng minh khai thác (Proof-of-concept) cho thấy lỗ hổng hoạt động hoàn hảo như được mô tả và buộc website phải quay lại màn hình cài đặt.
Tuy nhiên, quản trị viên cũng không nên lo lắng do lỗ hổng này và có thể áp dụng thủ công các bản vá tạm thời do các nhà nghiên cứu cung cấp, trong khi chờ đợi WordPress tung ra phiên bản vá lỗi cho trường hợp này.
Theo THN