Lỗ hổng WordPress mới bị tin tặc nhắm tới chỉ vài giờ sau khi vá

Các nhóm tấn công đã bắt đầu khai thác một lỗ hổng nghiêm trọng mới trong WordPress chỉ trong vòng vài giờ sau khi bản vá được phát hành. Lỗi này nằm trong quy trình cập nhật của WordPress và có thể bị lợi dụng để thực thi mã từ xa (RCE).

WordPress

Lỗ hổng nằm ở đâu?

Theo hãng bảo mật Defiant, lỗ hổng được vá vào ngày 28/10 trong phiên bản WordPress 7.1.4. Đây là một lỗi điều kiện tranh chấp (race condition) trong quy trình cập nhật lõi (Core) của WordPress, có thể bị khai thác mà không cần xác thực. Tuy nhiên, độ phức tạp của cuộc tấn công được đánh giá là cao. Hiện lỗ hổng này vẫn chưa được cấp mã định danh CVE.

Điểm yếu bắt nguồn từ các đường dẫn tạm (staging path) có thể dự đoán được và truy cập từ web trong quá trình nâng cấp. Các tệp mới được giải nén vào một thư mục có thể đoán trước và có thể truy cập từ web trên nhiều máy chủ.

"Kẻ tấn công cần một gói cập nhật đầy đủ chứa các tệp cài đặt, quyền truy cập web và PHP công khai vào cây thư mục tạm, một đường dẫn tạm có thể đoán được hoặc đã bị phát hiện, cùng đủ thời gian để hoàn tất cuộc tấn công trước khi WordPress dọn dẹp các tệp tạm," Defiant giải thích.

Tin tặc đã rình rập và tấn công

Theo công ty bảo mật web này, các nhóm tấn công đã và đang cố gắng khai thác lỗ hổng, liên tục thăm dò các đường dẫn dễ bị tổn thương để cố gắng trúng vào cửa sổ khai thác chỉ kéo dài vài giây.

Mặc dù kẻ tấn công không cần tài khoản trên trang web để khai thác lỗi, họ cần "trúng vào một khoảng thời gian rất hẹp trong khi WordPress đang giải nén một bản cập nhật Core đầy đủ", Defiant cho biết.

Bảo mật

Để khắc phục lỗi bảo mật này, WordPress hiện đã ngẫu nhiên hóa thư mục tạm, thêm lớp bảo vệ chỉ mục (index guard) và ngăn chặn việc chuyển giao không an toàn dữ liệu cấu hình tạm.

"Dữ liệu từ hệ thống giám sát của Wordfence cho thấy tin tặc đã tích cực cố gắng khai thác lỗ hổng. Lần khớp đầu tiên với quy tắc tường lửa mới của chúng tôi đến chỉ 9 phút sau khi triển khai. Trong 21 giờ đầu tiên, chúng tôi ghi nhận hơn 18.500 yêu cầu nhắm vào các đường dẫn cài đặt setup-config.php dạng tạm," Defiant cho biết.

Wordfence chưa báo cáo trường hợp xâm phạm thành công nào.

Phạm vi ảnh hưởng và bản vá

Các bản sửa lỗi đã được đưa vào WordPress 7.1.4 và được đưa ngược (backport) về các nhánh từ WordPress 4.7 trở đi. Điều này có nghĩa là người dùng ở nhiều phiên bản cũ cũng có thể được bảo vệ nếu cập nhật lên bản phát hành mới nhất trong nhánh của mình.

Bên cạnh lỗ hổng nói trên, WordPress 7.1.4 còn bao gồm bản vá cho 22 lỗi bảo mật khác, trong đó có nhiều lỗi XSS, các vấn đề liên quan đến Interactivity API, một lỗi lộ thông tin không cần xác thực và một điểm yếu phân quyền. Bản cập nhật cũng cập nhật chứng chỉ gốc đi kèm để phản ánh việc thu hồi eMudhra gần đây.

SecurityWeek

Người dùng Việt Nam cần làm gì?

WordPress là nền tảng được sử dụng rộng rãi cho các website doanh nghiệp, blog và trang thương mại điện tử tại Việt Nam. Với lỗ hổng có thể dẫn tới thực thi mã từ xa, rủi ro bị chiếm quyền điều khiển website là rất đáng kể.

• Cập nhật ngay WordPress lên phiên bản 7.1.4 hoặc bản mới nhất trong nhánh của bạn.
• Cập nhật cả các plugin và theme để tránh lỗ hổng bị lợi dụng theo chuỗi.
• Cân nhắc sử dụng tường lửa ứng dụng web (WAF) có quy tắc chặn truy cập vào các đường dẫn tạm trong quá trình nâng cấp.
• Theo dõi nhật ký truy cập để phát hiện các yêu cầu bất thường nhắm vào các đường dẫn setup-config.php.
• Thực hiện sao lưu dữ liệu định kỳ để giảm thiểu thiệt hại nếu website bị xâm phạm.

Việc tin tặc chỉ mất vài phút để bắt đầu quét lỗ hổng cho thấy các quy trình cập nhật bảo mật cần được thực hiện càng sớm càng tốt, thay vì trì hoãn chờ "thời điểm thuận tiện".