Sự xôn xao về khai thác plugin WordPress Yuzo Related Posts chưa nguội, báo cáo mới về lỗ hổng plugin Yellow Pencil Visual Theme Customizer lại xuất hiện. Plugin này khá phổ biến với 30.000+ cài đặt hoạt động khi bị gỡ khỏi trang WordPress chính thức. Sau khi 2 lỗ hổng được công bố bởi nhà nghiên cứu bảo mật, lượt tấn công tăng vọt. Nhiều trang web hiện đang redirect đến trang độc hại.
Trạng thái hiện tại của việc Khai thác Yellow Pencil
Tìm Yellow Pencil Visual Theme Customizer trên WordPress cho kết quả:
Mặc dù mô tả cho thấy cập nhật 23 giờ trước (ngày 12/4) và phiên bản 7.2.0 mới ra mắt, WordPress vẫn gỡ plugin do tần suất tấn công cao. Người dùng hiện tại được khuyên gỡ bỏ ngay lập tức để ngăn tấn công lan đến website WordPress.
Bài viết liên quan: WordPress Admin Panel Hack
Lỗ hổng trong Khai thác Plugin Yellow Pencil
Hai lỗ hổng nổi bật sau khi công bố trên blog kèm PoC (Proof of Concept):
Web bị redirect & user lạ xuất hiện? Ghé Astra hoặc nhắn tin widget chat, chúng tôi sẵn sàng giúp. Sửa web WordPress bị hack ngay.
Lỗ hổng Leo thang đặc quyền (Privilege-Escalation)
Lỗ hổng đầu tiên là "Privilege-escalation vulnerability". Nảy sinh do lỗi trong file yellow-pencil.php. Trong file này, hàm yp_remote_get_first() kiểm tra request từ hàm yp_remote_get. Do đó, user chưa xác thực获得 quyền admin.
Thiếu kiểm tra Cross-Site Request Forgery (CSRF)
Lỗ hổng thứ hai không do hàm cụ thể mà do thiếu kiểm tra CSRF - rào cản bổ sung cho các tấn công. Không có CSRF check cho phép user chưa xác thực khai thác bug này.
Hơn nữa, các tấn công gần đây (Yuzo Related Posts, Social Warfare...) đều từ cùng một địa chỉ IP. Suy đoán: một nhà nghiên cứu bảo mật đối đầu với WordPress đứng sau chuỗi tấn công này.
Hướng dẫn liên quan – Gỡ Malware WordPress
Kết luận - Khai thác Plugin Yellow Pencil
Như các vụ gần đây: gỡ bỏ, cập nhật, reset là liệu pháp. Bên cạnh đó, tường lửa như Astra's Firewall cho WordPress giúp rất nhiều cho bảo mật & zero-day attacks. Astra Website Security Suite là giải pháp all-in-one. Malware Scanner quét và sửa web trong tích tắc.
Thử demo Astra ngay!
