Công ty cổ phần An ninh mạng Việt Nam (VSEC) vừa phát đi cảnh báo về lỗ hổng bảo mật nghiêm trọng Cross-site request forgery (CSRF) trên plugin Code Snippets của nền tảng Wordpress, giúp tin tặc chiếm quyền quản trị website để thực hiện các mã lệnh từ xa.
Lỗ hổng CSRF được phát hiện vào đầu tháng 2/2020, được gắn mã CVE là CVE-2020-8417, một loại mã để định danh các lỗ hổng bảo mật được phát hiện trong các sản phẩm công nghệ phổ biến trên thế giới, được cung cấp bởi MITRE - một đơn vị được bảo trợ bởi Cơ quan An ninh nội địa Mỹ.
Cách thức để hacker chiếm quyền điều khiến máy chủ là hacker sẽ tạo đường link chứa mã khai thác và lừa người quản trị truy cập đường link đó. Khi người quản trị truy cập vào đường link này lúc đang đăng nhập vào Wordpress, một tài khoản quản trị xấu sẽ được thêm vào hệ thống quản trị website mà người dùng không được thông báo. Từ đây, tin tặc thực hiện xóa quyền quản trị của nạn nhân, thêm vào đó tiến hành thay đổi toàn bộ thông tin website.
Sau khi đã thu được tài khoản này, tin tặc sẽ thực thi mã lệnh từ xa (RCE) qua chức năng chỉnh sửa mã nguồn của Wordpress nhằm chiếm quyền điều khiển máy chủ, qua đó hacker có thể thực hiện những cuộc tấn công gián điệp đối với các thiết bị và máy chủ thuộc cùng mạng nội bộ với máy chủ bị tấn công.
Theo các chuyên gia VSEC: “Code Snippets trước phiên bản 2.14.0 đều bị ảnh hưởng”. Các chuyên gia VSEC cũng chia sẻ thêm, hiện nay lợi dụng sự tò mò của người dùng về các thông tin nóng như dịch bệnh, người nổi tiếng, chính trị... đã có hiện tượng tin tặc phát đi những đường link chứa mã độc ngụy trang dưới dạng tin tức giật gân, mục đích phát tán những mã độc đấy nhằm khai thác lỗ hổng CSRF để chiếm quyền điều khiển website.
Để tránh trở thành nạn nhân bị hacker lợi dụng lỗ hổng mới trên Wordpress tấn công chiếm quyền điều khiển website, các chuyên gia VSEC khuyến nghị quản trị viên của các website cần cân nhắc trước khi truy cập những đường link lạ, trang bị đủ kiến thức an toàn thông tin. Đặc biệt, cần cập nhật ngay phiên bản plugin Code Snippets mới nhất để khắc phục lỗ hổng này.
WordPress là một mã nguồn mở bằng ngôn ngữ PHP để hỗ trợ xây dựng và phát triển website, đây là nền tảng phổ biến vì dễ sử dụng, nhiều tính năng hữu ích mà nổi bật là Code Snippets - tính năng mở rộng rất tiện ích trên Wordpress giúp chèn trực tiếp các đoạn mã vào các tập tin giao diện. Hiện nay, trên thế giới, ước tính có hơn 60% website sử dụng CMS là Wordpress, trong đó có khoảng 200.000 website cài đặt Code Snippets. Riêng tại Việt Nam, theo các chuyên gia VSEC, khoảng 40% website sử dụng nền tảng Wordpress.
