Hàng triệu trang WordPress có nguy cơ bị tấn công bảo mật

Thứ ba - 17/03/2015 20:28
Lỗ hổng nghiêm trọng Blind SQL Injection vừa được phát hiện trong plug-in phổ biến nhất của nền tảng quản trị nội dung WordPress đã đặt hàng chục triệu trang blog cá nhân trước nguy cơ bị tấn công.

Theo thông tin từ Yoast, công cụ SEO by Yoast đã có hơn 14 triệu lượt tải về và công cụ này đã trở thành một trong những plug-in phổ biến nhất của WordPress, qua đó cho phép người dùng tối ưu hóa công cụ tìm kiếm (SEO).

Lỗi bảo mật Blind SQL Injection được phát hiện bởi chuyên gia Ryan Dewhurst, nhà phát triển công cụ quét lỗ hổng WordPress WPScan.

Chuyên gia bảo mật này chỉ ra rằng tất cả phiên bản WordPress SEO by Yoast từ 1.7.3.3 trở về trước có nguy cơ bị hacker tấn công thông qua phương thức khai thác trong quá trình trao đổi dữ liệu giữa người dùng và ứng dụng web (Web Application).

14 triệu người dùng WordPress đang bị ảnh hưởng bởi lỗi bảo mật trên công cụ hỗ trợ tìm kiếm SEO by yoast.
SQL Injection là một kỹ thuật cho phép kẻ tấn công thực thi các câu lệnh truy vấn SQL bất hợp pháp bằng cách lợi dụng lỗ hổng trong việc kiểm tra dữ liệu nhập từ các ứng dụng web. Hậu quả này rất tai hại vì nó cho phép hacker có toàn quyền, hiệu chỉnh... trên cơ sở dữ liệu của ứng dụng. Lỗi này thường xảy ra trên các ứng dụng web có dữ liệu được quản lý bằng các hệ quản trị CSDL như SQL Server, Oracle, DB2, Sysbase.

Mô tả kỹ thuật Blind SQL Injection trong WordPress SEO by Yoast:

Lỗ hổng bảo mật có thể dễ dàng tìm thấy trong tập tin "admin/class-bulk-editor-list-table.php", được biết đến như là tập tin sử dụng để xác thực truy cập dành cho những người quản lý hay viết bài trên WordPress. Lỗ hổng này chỉ có thể khai thác từ một tài khoản người dùng đã được xác thực. Tuy nhiên, loại thông tin này có thể dễ dàng thu được thông qua việc đánh lừa người dùng từ phương pháp phi kỹ thuật social engineering (phương pháp nhắm vào lỗi con người).

Mô hình tấn công SQL Injection.
Nếu người dùng nền tảng WordPress nhấn vào đường dẫn chứa nội dung lừa đảo, tin tặc có thể khai thác để thực thi truy vấn SQL trên trang web.

Ngay bên dưới là một ví dụ mà nhà phát triển công cụ quét lỗ hổng WPScan đưa ra nhằm chứng minh lỗ hổng Blind SQL Injection trong ‘WordPress SEO by Yoast’:

http://victim-wordpress-website.com/wp-admin/admin.php?page=wpseo_bulk-editor&type=title&orderby=post_date%2c(se-lect%20*%20f-rom%20(se-lect(sleep(10)))a)&order=asc

Như bạn có thể thấy trong ví dụ trên, các liên kết có chứa các giá trị lệnh SQL và nếu người quản trị trang web nhấp chuột vào liên kết này trong khi đang đăng nhập thì các lệnh truy vấn sẽ được thực thi. 

Sau khi lỗ hổng nói trên được công bố, Yoast đã nhanh chóng tung ra phiên bản 1.7.4 mới nhằm vá các lỗi bảo mật được đề cập.

Nếu người dùng đang sử dụng phiên bản WordPress SEO by Yoast từ 1.7.3.3 trở về trước, hãy tiến hành cập nhật lên phiên bản mới nhất để đảm bảo an toàn bằng cách truy cập Dashboard > Up-dates.

Còn nếu đang sử dụng WordPress 3.7 trở lên, người dùng có thể kích hoạt tính năng tự động cập nhật đầy đủ các plugin và theme từ Manage> Plugins & Themes> tab Auto Up-dates.

 

Nguồn tin: www.pcworld.com.vn

Tổng số điểm của bài viết là: 13 trong 3 đánh giá

Xếp hạng: 4.3 - 3 phiếu bầu
Click để đánh giá bài viết

  Ý kiến bạn đọc

Yêu cầu sử dụng NukeViet 4

1. Môi trường máy chủ Yêu cầu bắt buộc Hệ điều hành: Unix (Linux, Ubuntu, Fedora …) hoặc Windows PHP: PHP 5.4 hoặc phiên bản mới nhất. MySQL: MySQL 5.5 hoặc phiên bản mới nhất Tùy chọn bổ sung Máy chủ Apache cần hỗ trợ mod mod_rewrite. Máy chủ Nginx cấu hình các thông...

Thăm dò ý kiến

Lợi ích của phần mềm nguồn mở là gì?

Thống kê truy cập
  • Đang truy cập184
  • Máy chủ tìm kiếm13
  • Khách viếng thăm171
  • Hôm nay15,977
  • Tháng hiện tại1,854,501
  • Tổng lượt truy cập60,034,864
  • Thông báo lịch bảo trì diễn đàn NukeViet từ ngày 28/5/2020

  • Thông báo về lỗi bảo mật NukeViet 4.x

    Ban quản trị NukeViet thông báo: Hiện tại các phiên bản NukeViet 4.x đang có lỗi bảo mật, lợi dụng lỗi này kẻ xấu có thể lừa quản trị của site đang đăng nhập admin để thực hiện các thao tác không mong muốn. Bài viết này hướng dẫn quản trị site các biện pháp bảo vệ tạm thời trước khi có bản cập nhật chính thức.
  • GitHub tung ra tính năng mới cho phép viết code trực tiếp ngay trong trình duyệt

    Trong một thông báo chính thức dành cho các nhà phát triển, GitHub đã ra mắt Codespaces - một tính năng cho phép viết code trực tiếp trên web mà không cần thiết lập thêm bất cứ yêu cầu bổ sung nào, tương tự như môi trường Integrated Development Environment (IDE) trên đám mây.
  • Thông báo lịch bảo trì website NukeViet ngày 15/5/2020

  • Thông báo phát hành NukeViet 4.4.00

    NukeViet 4.4.00 là thế hệ mới của dòng NukeViet 4x với điểm nổi bật lớn nhất là thay đổi để tương thích với động thái loại bỏ dữ liệu có cấu trúc vocabulary.org của Google. Ngoài ra phiên bản này còn bổ sung một số chức năng mới mẻ như bổ sung tính năng xác thực hai bước bằng tài khoản Google, Facebook trong quản trị; hỗ trợ toàn diện IPv6 ở các cấu hình liên quan đến địa chỉ IP, loại bỏ hoàn toàn hỗ trợ Flash. Đây là bản cập nhật quan trọng, các website đang sử dụng NukeViet 4.3 không nên bỏ qua.
  • Giới thiệu các thay đổi trong NukeViet 4.4.00

    NukeViet 4.4.00 là thế hệ tiếp theo của NukeViet 4x, các site cập nhật lên phiên bản này sẽ cần điều chỉnh giao diện (không bắt buộc). Hãy cùng tìm hiểu một số thay đổi chính ở phiên bản này.
  • Hướng dẫn sử dụng phần mềm họp trực tuyến Jitsi

    Jitsi được biết đến là một trong số những ứng dụng họp trực tuyến được xây dựng trên mã nguồn mở cho phép người dùng gọi video chỉ sau vài bước thực hiện hết sức đơn giản. Vậy ứng dụng này được sử dụng như thế nào? Bài viết sau đây của chúng tôi sẽ giúp bạn trả lời câu hỏi này.
 
Bạn đã không sử dụng Site, Bấm vào đây để duy trì trạng thái đăng nhập. Thời gian chờ: 60 giây