近期，WordPress平臺(tái)上備受歡迎的插件‘Really Simple Security’（原名‘Really Simple SSL’）曝出了一個(gè)重大安全隱患，即身份驗(yàn)證繞過(guò)漏洞，該漏洞波及全球數(shù)以百萬(wàn)計(jì)的網(wǎng)站，使其面臨嚴(yán)重的安全風(fēng)險(xiǎn)，攻擊者可借此完全控制受影響的站點(diǎn)。

WordPress是一個(gè)功能強(qiáng)大、易于使用且高度可擴(kuò)展的開源內(nèi)容管理系統(tǒng)（CMS），它最初以博客平臺(tái)身份面世，現(xiàn)已廣泛應(yīng)用于各類網(wǎng)站的創(chuàng)建與管理，從個(gè)人博客到企業(yè)官網(wǎng)，再到電子商務(wù)平臺(tái)，都能通過(guò)豐富的插件和主題實(shí)現(xiàn)定制化需求。

該漏洞正式編號(hào)為CVE-2024-10924，由Wordfence安全團(tuán)隊(duì)的研究員István Márton在2024年11月6日首次發(fā)現(xiàn)。問(wèn)題的根源在于插件在用戶身份驗(yàn)證流程中的處理不當(dāng)，特別是在處理兩因素認(rèn)證（2FA）的REST API接口時(shí)。具體來(lái)說(shuō)，漏洞出現(xiàn)在名為‘check_login_and_get_user()’的函數(shù)中，該函數(shù)未能正確驗(yàn)證‘login_nonce’參數(shù)的有效性。當(dāng)‘login_nonce’失效時(shí)，系統(tǒng)非但沒(méi)有拒絕訪問(wèn)請(qǐng)求，反而錯(cuò)誤地執(zhí)行了‘a(chǎn)uthenticate_and_redirect()’函數(shù)，僅憑‘user_id’就進(jìn)行了身份驗(yàn)證，從而繞過(guò)了正常的安全驗(yàn)證機(jī)制。

這一漏洞的嚴(yán)重性不容忽視，因?yàn)樗沟霉粽呒词乖趩⒂昧藘梢蛩卣J(rèn)證的情況下，也能輕松利用這一缺陷發(fā)起大規(guī)模的攻擊。Wordfence團(tuán)隊(duì)發(fā)出警告，指出攻擊者可以編寫自動(dòng)化腳本，批量利用此漏洞，進(jìn)而可能導(dǎo)致大量網(wǎng)站被非法接管。幸運(yùn)的是，插件的開發(fā)者迅速響應(yīng)，在2024年11月12日和14日分別為Pro版和免費(fèi)版發(fā)布了更新補(bǔ)丁，修復(fù)了‘login_nonce’驗(yàn)證失敗時(shí)的處理邏輯。

盡管開發(fā)者與WordPress.org合作，實(shí)施了強(qiáng)制性的安全更新，但網(wǎng)站管理員仍需主動(dòng)檢查并確保他們的插件已升級(jí)至最新版本（9.1.2）。然而，根據(jù)統(tǒng)計(jì)，盡管免費(fèi)版插件的下載量已達(dá)到約450,000次，但仍有約350萬(wàn)個(gè)網(wǎng)站可能仍受此漏洞威脅，因此，這些網(wǎng)站的管理員迫切需要采取行動(dòng)，以保護(hù)其網(wǎng)站免受潛在的安全風(fēng)險(xiǎn)。

及時(shí)掌握網(wǎng)絡(luò)安全態(tài)勢(shì) 盡在傻蛋網(wǎng)絡(luò)安全監(jiān)測(cè)系統(tǒng)

【網(wǎng)絡(luò)安全監(jiān)管部門】免費(fèi)試用

本文來(lái)源:互聯(lián)網(wǎng)

如涉及侵權(quán)，請(qǐng)及時(shí)與我們聯(lián)系，我們會(huì)在第一時(shí)間刪除或處理侵權(quán)內(nèi)容。
電話：400-869-9193 負(fù)責(zé)人：張明