Kerentanan plugin Ultimate Member WordPress, dengan lebih dari 200.000 pemasangan aktif dieksploitasi secara aktif di situs WordPress yang belum ditambal. Kerentanan tersebut dikatakan membutuhkan upaya minimal untuk mem-bypass filter keamanan.

Gandakan plugin pamungkas untuk anggota

Plugin Ultimate Member WordPress memungkinkan penerbit membuat komunitas online di situs web mereka.

Pengaya berfungsi dengan membuat proses yang mudah untuk pendaftaran pengguna dan pembuatan profil pengguna. Ini adalah plugin yang populer terutama untuk situs keanggotaan.

Versi gratis dari plugin memiliki set fitur yang murah hati termasuk:

Profil pengguna front-end, pendaftaran, login, dan penerbit juga dapat membuat direktori untuk anggota.

Plugin ini juga berisi bug kritis yang memungkinkan pengunjung situs membuat profil anggota dengan hak istimewa tingkat administrator.

Basis Data Keamanan WPScan Menjelaskan tingkat keparahan kerentanan:

Plug-in tidak mencegah pengunjung membuat akun pengguna dengan kemampuan sewenang-wenang, yang secara efektif memungkinkan penyerang membuat akun administrator sesuka hati.

Ini secara aktif dieksploitasi di alam liar.”

Pembaruan keamanan gagal

Kerentanan ditemukan pada akhir Juni 2023 dan penerbit Ultimate Member dengan cepat merespons dengan tambalan untuk menutup kerentanan.

Patch untuk kerentanan ini dirilis dalam versi 2.6.5, yang diterbitkan pada 28 Juni.

resmi Changelog untuk plugin pemasang iklan:

Memperbaiki: Kerentanan eskalasi hak istimewa yang digunakan oleh formulir UM.

Diketahui bahwa kerentanan memungkinkan orang luar membuat pengguna WordPress di tingkat administrator.

Harap segera perbarui dan periksa semua pengguna level admin di situs web Anda. “

Namun, perbaikan ini tidak sepenuhnya memperbaiki kerentanan dan peretas terus mengeksploitasinya di situs web.

Peneliti keamanan di Wordfence menganalisis plugin tersebut dan menentukan pada tanggal 29 Juni bahwa tambalan tersebut sebenarnya tidak berfungsi. menggambarkan temuan mereka Dalam posting blog:

“Setelah penyelidikan lebih lanjut, kami telah menemukan bahwa kerentanan ini secara aktif dieksploitasi dan belum ditambal dengan tepat dalam versi terbaru yang tersedia, yaitu 2.6.6 pada saat penulisan.”

Masalahnya sangat buruk sehingga Wordfence menggambarkan upaya yang diperlukan untuk meretas plugin sebagai hal yang sepele.

Penjelasan kata-kata:

Meskipun plugin memiliki daftar kunci yang diblokir yang telah ditentukan sebelumnya, yang seharusnya tidak dapat diperbarui oleh pengguna, ada cara sepele untuk melewati filter yang disetel seperti menggunakan kasus yang berbeda, garis miring, dan pengkodean karakter dalam nilai meta-key yang disediakan di lemah versi plugin.

Hal ini memungkinkan penyerang menyetel nilai meta pengguna wp_capabilities, yang mengontrol peran pengguna di situs, menjadi “admin”.

Ini memberi penyerang akses penuh ke situs yang dikompromikan saat berhasil dieksploitasi. “

Tingkat pengguna admin adalah tingkat akses tertinggi untuk situs WordPress.

Apa yang membuat eksploit ini menjadi perhatian khusus adalah bahwa kelas ini disebut “eskalasi hak istimewa yang tidak diautentikasi”, yang berarti bahwa peretas tidak memerlukan tingkat akses situs web sama sekali untuk meretas plugin.

Anggota terakhir meminta maaf

Tim di Ultimate Member memposting permintaan maaf publik kepada penggunanya, memberikan laporan lengkap tentang apa yang terjadi dan bagaimana tanggapan mereka.

Perlu dicatat bahwa sebagian besar perusahaan mengeluarkan tambalan dan tetap diam. Oleh karena itu, terpuji dan bertanggung jawab bahwa Ultimate Member memperlakukan kliennya secara terus terang tentang insiden keamanan.

Buku Pengguna Utama:

Pertama, kami ingin meminta maaf atas kerentanan ini dalam kode plugin kami dan situs web mana pun yang terpengaruh dan kekhawatiran yang mungkin disebabkan oleh pembelajaran tentang kerentanan tersebut.

Segera setelah kami mengetahui bahwa kerentanan ditemukan di plugin, kami segera mulai memperbarui kode untuk menambal kerentanan.

Kami telah merilis beberapa pembaruan sejak pengungkapan saat kami mengatasi kerentanan, dan kami ingin mengucapkan terima kasih yang sebesar-besarnya kepada tim di WPScan karena telah memberikan bantuan dan panduan mengenai hal ini setelah mereka menjangkau untuk mengungkapkan kerentanan.”

Dorong pengguna plugin untuk segera memperbarui

Peneliti keamanan di WPScan mendesak semua pengguna plugin untuk segera memperbarui situs mereka ke versi 2.6.7.

Pengumuman khusus dari catatan WPScan:

Kampanye peretasan secara aktif mengeksploitasi add-on anggota

Versi baru, 2.6.7, dirilis akhir pekan ini, dan memperbaiki masalah tersebut.

Jika Anda menggunakan Ultimate Member, perbarui ke versi ini sesegera mungkin.

Ini adalah masalah yang sangat serius: penyerang yang tidak sah dapat mengeksploitasi kerentanan ini untuk membuat akun pengguna baru dengan hak istimewa administratif, memberi mereka kemampuan untuk sepenuhnya mengontrol situs yang terpengaruh.”

Kerentanan ini diberi peringkat 9,8 dari skala 1 hingga 10, dengan level 10 sebagai level yang paling parah.

Sangat disarankan agar pengguna plugin segera memperbarui perangkat lunak.

Gambar unggulan oleh Shutterstock / Pedrorsfernandes