Plugin Ultimate Member má kritickou bezpečnostní chybu

Upraveno 5 prosince, 2023 23:57

Služba WPScan aktuálně hlásí aktivní hackingovou kampaň, využívající neopravenou zranitelnost v pluginu Ultimate Member. WPscan odhalil, že plugin Ultimate Member má kritickou bezpečnostní chybu. Ta umožňuje neautorizovaným útočníkům vytvářet nové uživatelské účty s administrátorskými oprávněními. Díky tomu může útočník převzít kontrolu nad celou stránkou – (https://blog.wpscan.com/hacking-campaign-actively-exploiting-ultimate-member-plugin/). Zranitelnost má přiřazené skóre CVSSv3.1 (Common Vulnerability Scoring System) 9,8. To znamená, že je tato zranitelnost kritická.

Hostovací platformy jako WP.cloud a Pressable.com společnosti Automattic si všimly vzorce v kompromitovaných stránkách, kde se objevovali noví, neoprávnění správci webu. Po dalším vyšetřování pracovníci těchto platforem objevili diskusi na podpoře WordPress.org o potenciální zranitelnosti zvýšení privilegií v pluginu. Zároveň zde také byly indikace o tom, že je tato zranitelnost již aktivně zneužívána.

Plugin Ultimate Member má kritickou bezpečnostní chybu

Vývojáři pluginu Ultimate Member, který je aktivní na více než 200 000 webových stránkách postavených na WordPressu, vydali poměrně rychle opravu. Podle služby WPScan ale tato oprava není zcela dostačující.

“Reagujíce na zprávu o zranitelnosti, tvůrci pluginu rychle vydali novou verzi 2.6.4, která měla problém vyřešit,” uvedl bezpečnostní výzkumník WPScanu Marc Montpas.

“Nicméně, při zkoumání této aktualizace jsme objevili mnoho způsobů, jak obejít navrženou opravu, což naznačuje, že problém je stále plně zneužitelný.“

“Navíc, při pohledu na naše monitorovací systémy jsme potvrdili, že útoky pomocí této zranitelnosti se skutečně odehrávají v reálném prostředí.“

Aktuálně je již vydaná opravná verze 2.6.6, která je nejnovějším vydáním pluginu Ultimate Member. Je ale stále považována za zranitelnou! WPScan doporučuje uživatelům aby deaktivovali tento plugin, dokud jej vývojáři  řádně neopraví.