Các lỗ hổng nghiêm trọng đã được tìm thấy trong các plugin WordPress phổ biến, “Ultimate Addons cho Elementor” và “Ultimate Addons cho Beaver Builder”. Được phát triển bởi nhóm Brainstorm Force, các plugin Ultimate Addons cho phép chủ sở hữu trang web WordPress sử dụng các tiện ích / chức năng bổ sung cho các trình tạo trang phổ biến như Elementor và Beaver Builder.
Ultimate Addons đã đưa ra một lời khuyên trên các trang web của mình về bản vá lỗ hổng bảo mật, yêu cầu người dùng cập nhật các plugin. Để làm sáng tỏ hơn về vấn đề này, chúng tôi đã tìm hiểu chi tiết về lỗ hổng bảo mật đã cho phép tấn công.
Nhóm Brainstorm Force sẽ được hoan nghênh vì sự nhanh nhạy của họ trong việc vá lỗ hổng trong vòng chưa đầy 7 giờ!
Các phiên bản được vá là:
- 1.20.1 cho các phần bổ trợ cuối cùng cho Elementor
- 1.24.1 cho các bổ trợ cuối cùng cho Beaver builder
Nếu bạn đã cài đặt plugin, với phiên bản cũ hơn được đề cập ở trên, vui lòng cập nhật plugin ngay lập tức.
Các plugin Ultimate Addons được cài đặt tích cực trên hàng nghìn trang web. Hơn nữa, với bản chất của lỗ hổng, tin tặc có thể truy cập hoàn toàn vào bất kỳ trang web WordPress nào có cài đặt plugin, nếu họ có quyền truy cập vào ID email của bất kỳ người dùng nào.
Chúng tôi mong bạn cập nhật ngay lập tức.
Lỗ hổng bảo mật dưới kính hiển vi
Tính năng đăng nhập Google và Facebook trong tiện ích con 'Biểu mẫu đăng nhập', chứa lỗ hổng xác thực và quản lý phiên bị hỏng. Lỗ hổng cho phép tin tặc đăng nhập mà không cần mật khẩu vào khu vực Quản trị viên WordPress của bất kỳ người dùng nào, nếu họ biết địa chỉ email của người dùng. Sử dụng phương pháp này, bạn cũng có thể đăng nhập vào tài khoản của quản trị viên trong WordPress.
Bằng cách tận dụng các kỹ thuật thu thập thông tin khác, có thể tìm ra địa chỉ email của quản trị viên và khai thác lỗ hổng này.
Hướng dẫn có Liên quan - Loại bỏ Hack WordPress
Sau khi có được quyền truy cập quản trị viên, tin tặc sẽ nhận được quyền hạn và quyền kiểm soát để tiếp tục khai thác trang web theo nhiều cách. Tệ nhất trong số đó vẫn là defacement, chuyển hướng, spam, đánh cắp dữ liệu (trộm danh tính + trộm dữ liệu tài chính), cửa sổ bật lên độc hại, truy cập cơ sở dữ liệu, v.v.
Chi tiết kỹ thuật của vụ hack
Do xác thực yếu trong mô-đun đăng nhập Google và Facebook, tin tặc có thể khai thác chức năng wp-admin AJAX được sử dụng bởi các plugin Ultimate Addons.
Đối với các trang web sử dụng mô-đun đăng nhập xã hội, kẻ tấn công có thể giả mạo / sửa đổi ID email được gửi dưới dạng phản hồi đối với chức năng AJAX, sau khi cho phép đăng nhập thành công qua Google / Facebook. Plugin nắm bắt id email của người dùng và thực hiện đăng nhập mà không cần xác minh tính xác thực của dữ liệu do Google / Facebook gửi. Mã xác minh lệnh gọi AJAX bằng cách kiểm tra mã thông báo nonce do WordPress đặt (tương tự như mã thông báo CSRF), rất tiếc là không đủ để xác định xem API của Google và Facebook có trả lại cùng một id email hay không.
Như bạn có thể thấy trong ảnh chụp màn hình bên dưới, dữ liệu POST được sử dụng trực tiếp để đăng nhập người dùng mà không cần xác thực. Bạn nên xác minh tính xác thực của dữ liệu do Google và Facebook OAuth cung cấp, bằng cách thực hiện lệnh gọi API xác minh tới dịch vụ của họ.
Thêm chi tiết:https://developers.google.com/identity/sign-in/web/backend-auth
Bạn có bị tấn công không? Nhận trợ giúp ngay lập tức
Nếu bạn đã bị tấn công, bạn có thể nhanh chóng khôi phục trang web của mình bằng tính năng dọn dẹp phần mềm độc hại ngay lập tức của Astra. Nếu bạn đã là khách hàng của Astra, công nghệ vá lỗi ảo của chúng tôi sẽ bảo vệ bạn khỏi những lỗ hổng bảo mật như vậy.
Làm cách nào để xác nhận tôi bị tấn công?
Bạn có thể biết mình bị tấn công nếu bạn thấy bất kỳ điều nào sau đây:
- Người dùng Quản trị viên mới đã được tạo trong khu vực quản trị viên WordPress của bạn
- Trang web của bạn đang chuyển hướng đến các trang web độc hại
- Email spam / lừa đảo được gửi từ máy chủ của bạn
- Cửa sổ bật lên độc hại khi khách truy cập mở trang web của bạn
- Khách truy cập trang web được Google hiển thị trang cảnh báo màu đỏ
Nếu bạn nhận thấy bất kỳ triệu chứng nào không được liệt kê ở trên, bạn có thể tham khảo danh sách đầy đủ các dấu hiệu hack.
Bạn có thể làm gì?
Nếu bạn là người bảo trì thường xuyên trang web WordPress của mình và muốn cố gắng sửa lỗi và bảo mật nó không xảy ra lại, bạn nên:
- Cập nhật các plugin dễ bị tấn công, lõi WordPress, các plugin khác
- Kiểm tra quản trị viên trang web của bạn và xem liệu có bất kỳ tài khoản quản trị viên mới nào được thêm vào không. Sau khi tin tặc có được quyền truy cập quản trị viên, chúng có thể tạo người dùng quản trị viên mới để duy trì quyền truy cập vào trang web sau khi lỗ hổng bảo mật đã được khắc phục.
- Đăng nhập vào máy chủ của bạn qua FTP / SFTP hoặc mô-đun Trình quản lý tệp trong cPanel và kiểm tra các tên tệp không xác định trong thư mục gốc của trang web. Các tệp sau đã được tìm thấy trong các trang web bị khai thác:tmp.zip, wp-xmlrpc.php, adminer.php
- Bật xác thực hai yếu tố (2FA) cho khu vực quản trị viên WordPress của bạn
- Bật các giới hạn IP trên khu vực wp-admin để chỉ các IP trong danh sách cho phép mới có thể truy cập bảng điều khiển.
Có liên quan :Hướng dẫn loại bỏ phần mềm độc hại WordPress hoàn chỉnh
Cách Cập nhật Chính xác
How to update the Ultimate Addons for Elementor?
To update the Ultimate Addons for Elementor (or UAE as they say it), follow these steps:
- Download the latest version from here.
- Delete the previously installed version. Don’t worry no data will be lost.
- Upload the zip file you downloaded from above as a new plugin in your WP-admin
- Install and activate.
And, you are all set.
How to update the Ultimate Addons for Beaver Builder?
To update the Ultimate Addons for Beaver Builder (or UABB as they say it), follow these steps:
- Download the latest version from here.
- Delete the previously installed version. Don’t worry no data will be lost.
- Upload the zip file you downloaded from above as a new plugin in your WP-admin
- Install and activate.
And, you are all set.
Secure your website with Astra
Phù! You are not hacked. But don’t leave your website security to luck. Not securing your website is only going to cost you in the long run. Don’t be at the mercy of the hackers, hold the reins to your website’s wellbeing.
Opt for a trusted security solution and leverage due security &protection on your website.
Have any questions? Comment below or get in touch with a security expert, we’ll be happy to help 🙂