Er is een zeer ernstig beveiligingslek onthuld in de LiteSpeed Cache-plug-in voor WordPress, waardoor een niet-geverifieerde bedreigingsacteur zijn privileges kan verhogen en kwaadaardige acties kan uitvoeren.
De kwetsbaarheid, bijgehouden als CVE-2024-50550 (CVSS-score: 8.1), is verholpen in versie 6.5.2 van de plug-in.
“De plug-in lijdt aan een niet-geverifieerde kwetsbaarheid voor escalatie van privileges, waardoor elke niet-geverifieerde bezoeker toegang op beheerdersniveau kan krijgen, waarna kwaadaardige plug-ins kunnen worden geüpload en geïnstalleerd”, zei Patchstack-beveiligingsonderzoeker Rafie Muhammad in een analyse.
LiteSpeed Cache is een populaire plug-in voor siteversnelling voor WordPress die, zoals de naam al aangeeft, wordt geleverd met geavanceerde caching-functionaliteit en optimalisatiefuncties. Het is op meer dan zes miljoen sites geïnstalleerd.
Het nieuw geïdentificeerde probleem, volgens Patchstack, is geworteld in een functie genaamd is_role_simulation en is vergelijkbaar met een eerdere fout die in augustus 2024 publiekelijk werd gedocumenteerd (CVE-2024-28000, CVSS-score: 9,8).
Het komt voort uit het gebruik van een zwakke security-hash-check die bruut kan worden geforceerd door een slechte actor, waardoor de crawler-functie kan worden misbruikt om een ingelogde gebruiker, inclusief een beheerder, te simuleren.
Een succesvolle exploitatie is echter gebaseerd op de volgende plug-inconfiguratie:
- Crawler -> Algemene instellingen -> Crawler: AAN
- Crawler -> Algemene instellingen -> Uitvoeringsduur: 2500 – 4000
- Crawler -> Algemene instellingen -> Interval tussen runs: 2500 – 4000
- Crawler -> Algemene instellingen -> Serverbelastingslimiet: 0
- Crawler -> Simulatie-instellingen -> Rolsimulatie: 1 (ID van gebruiker met beheerdersrol)
- Crawler -> Samenvatting -> Activeren: Zet elke rij op UIT, behalve Beheerder
De patch die door LiteSpeed is ingevoerd, verwijdert het rolsimulatieproces en werkt de stap voor het genereren van hash bij met behulp van een generator voor willekeurige waarden om te voorkomen dat de hashes tot 1 miljoen mogelijkheden worden beperkt.
“Deze kwetsbaarheid benadrukt het cruciale belang van het waarborgen van de kracht en onvoorspelbaarheid van waarden die worden gebruikt als veiligheidshash of nonces”, zei Muhammad.
“De functies rand() en mt_rand() in PHP retourneren waarden die voor veel gebruiksscenario’s ‘willekeurig genoeg’ kunnen zijn, maar ze zijn niet onvoorspelbaar genoeg om te worden gebruikt in beveiligingsgerelateerde functies, vooral als mt_srand in een beperkte mogelijkheid wordt gebruikt .”
CVE-2024-50550 is het derde beveiligingslek dat in de afgelopen twee maanden in LiteSpeed is onthuld; de andere twee zijn CVE-2024-44000 (CVSS-score: 7,5) en CVE-2024-47374 (CVSS-score: 7,2).
De ontwikkeling komt weken nadat Patchstack twee kritieke tekortkomingen in Ultimate Membership Pro heeft beschreven die kunnen resulteren in escalatie van bevoegdheden en uitvoering van code. Maar de tekortkomingen zijn verholpen in versie 12.8 en hoger.
- CVE-2024-43240 (CVSS-score: 9,4) – Een niet-geverifieerde kwetsbaarheid voor escalatie van bevoegdheden waardoor een aanvaller zich voor elk lidmaatschapsniveau kan registreren en de daaraan gekoppelde rol kan verwerven
- CVE-2024-43242 (CVSS-score: 9,0) – Een niet-geverifieerde kwetsbaarheid voor PHP-objectinjectie waardoor een aanvaller willekeurige code kan uitvoeren.
Patchstack waarschuwt ook dat het voortdurende juridische drama tussen WordPress’ moedermaatschappij Automattic en WP Engine sommige ontwikkelaars ertoe heeft aangezet de WordPress.org-repository te verlaten, waardoor gebruikers de juiste communicatiekanalen moeten monitoren om ervoor te zorgen dat ze de laatste informatie ontvangen over mogelijke sluitingen van plug-ins en beveiliging. problemen.
“Gebruikers die er niet in slagen handmatig plug-ins te installeren die uit de WordPress.org-repository zijn verwijderd, lopen het risico geen nieuwe updates te ontvangen die belangrijke beveiligingsoplossingen kunnen bevatten”, aldus Oliver Sild, CEO van Patchstack. “Hierdoor kunnen websites worden blootgesteld aan hackers die vaak bekende kwetsbaarheden misbruiken en misbruik kunnen maken van dergelijke situaties.”
