Vulnerabilità WordPress nei plugin antimalware

È stata scoperta una vulnerabilità di tipo cross site scripting in due popolari plugin antimalware di WordPress.

La vulnerabilità può consentire a un utente malintenzionato di compromettere un utente di livello amministratore del sito Web interessato.

I plugin incriminati sono Anti-Malware Security e Brute-Force Firewall, utilizzati da oltre 200.000 siti web.

Vulnerabilità WordPress: ecco i dettagli dei plugin

Anti-Malware Security e Brute-Force Firewall sono plug-in che difendono un sito Web:

• come dei firewall per bloccare le minacce in arrivo.
• come scanner di sicurezza, per verificare la presenza di minacce alla sicurezza sotto forma di hack backdoor e iniezioni di database.
• scaricando gli aggiornamenti per proteggere il sito da nuove minacce.

La versione premium poi, ha interessanti funzionalità, tra cui:

• Patch il wp-login e XMLRPC per bloccare gli attacchi Brute-Force e DDoS.
• Verifica l'integrità dei file core di WordPress.
• Scarica automaticamente nuovi aggiornamenti delle definizioni durante l'esecuzione di una scansione completa.

Dalle analisi emerge che questi plug-in contengano una vulnerabilità in grado di consentire ad un utente malintenzionato di lanciare un attacco Reflected Cross-Site Scripting.

Gli attori delle minacce spesso sfruttano poi i siti Web legittimi, ma dirottati, per ospitare malware, skimmer di carte di credito o per l'implementazione di spam.

Cos’è un attacco XSS

Una vulnerabilità di cross-site scripting in questo contesto è quella in cui un sito Web WordPress non limita adeguatamente ciò che può essere immesso nel sito. Concede ad un utente malintenzionato di aggirare la stessa policy di origine, progettata per separare siti Web diversi l'uno dall'altro.

Le vulnerabilità del cross-site scripting normalmente consentono a un utente malintenzionato di mascherarsi da utente vittima, di eseguire qualsiasi azione che l'utente è in grado di eseguire e di accedere a ogni dato dell'utente. Se l'utente vittima dispone di un accesso privilegiato all'interno dell'applicazione, l'autore dell'attacco potrebbe essere in grado di ottenere il controllo completo su tutte le funzionalità e i dati dell'applicazione.

Lo scripting tra siti funziona manipolando un sito Web vulnerabile in modo che restituisca JavaScript dannoso agli utenti. Quando il codice dannoso viene eseguito all'interno del browser di una vittima, l'attaccante può compromettere completamente la sua interazione con l'applicazione.

Il rapporto WPScan su Anti-Malware Security e Brute-Force Firewall ha descritto così la vulnerabilità:

Il plugin non sanifica e non fa escape della QUERY_STRING prima di restituirla in una pagina di amministrazione. Ciò porta ad uno scripting incrociato riflesso nei browser che non codificano i caratteri.

Il database nazionale delle vulnerabilità del governo degli Stati Uniti non ha ancora assegnato a questa vulnerabilità un punteggio di gravità.

Il consiglio generale è, come sempre, aggiornare WordPress; non prima però di aver eseguito correttamente un backup generale dei file.