Lỗ hổng nghiêm trọng trên Wordpress giúp tin tặc chiếm quyền điều khiển website

Lỗ hổng CSRF được phát hiện vào đầu tháng 2/2020, được gắn mã CVE là CVE-2020-8417, một loại mã để định danh các lỗ hổng bảo mật được phát hiện trong các sản phẩm công nghệ phổ biến trên thế giới, được cung cấp bởi MITRE - một đơn vị được bảo trợ bởi Cơ quan An ninh nội địa Mỹ.

Để khai thác lỗ hổng này, hacker sẽ tạo đường link chứa mã khai thác và lừa người quản trị truy cập đường link đó. Khi người quản trị truy cập vào đường link này lúc đang đăng nhập vào Wordpress, một tài khoản quản trị xấu sẽ được thêm vào hệ thống quản trị website mà người dùng không được thông báo. Từ đây, tin tặc thực hiện xóa quyền quản trị của nạn nhân, thêm vào đó tiến hành thay đổi toàn bộ thông tin website.

Tiếp theo, sau khi đã thu được tài khoản này, tin tặc sẽ thực thi mã lệnh từ xa (RCE) qua chức năng chỉnh sửa mã nguồn của Wordpress nhằm chiếm quyền điều khiển máy chủ, qua đó hacker có thể thực hiện những cuộc tấn công gián điệp đối với các thiết bị và máy chủ thuộc cùng mạng nội bộ với máy chủ bị tấn công.

Theo các chuyên gia VSEC: “Code Snippets trước phiên bản 2.14.0 đều bị ảnh hưởng”. Các chuyên gia VSEC cũng chia sẻ thêm, hiện nay lợi dụng sự tò mò của người dùng về các thông tin nóng như dịch bệnh, người nổi tiếng, chính trị... đã có hiện tượng tin tặc phát đi những đường link chứa mã độc ngụy trang dưới dạng tin tức giật gân, mục đích phát tán những mã độc đấy nhằm khai thác lỗ hổng CSRF để chiếm quyền điều khiển website.

Để tránh trở thành nạn nhân bị hacker lợi dụng lỗ hổng mới trên Wordpress tấn công chiếm quyền điều khiển website, các chuyên gia VSEC khuyến nghị quản trị viên của các website cần cân nhắc trước khi truy cập những đường link lạ, trang bị đủ kiến thức an toàn thông tin. Đặc biệt, cần cập nhật ngay phiên bản plugin Code Snippets mới nhất để khắc phục lỗ hổng này.

WordPress là một mã nguồn mở bằng ngôn ngữ PHP để hỗ trợ xây dựng và phát triển website, đây là nền tảng phổ biến vì dễ sử dụng, nhiều tính năng hữu ích mà nổi bật là Code Snippets - tính năng mở rộng rất tiện ích trên Wordpress giúp chèn trực tiếp các đoạn mã vào các tập tin giao diện. Hiện nay, trên thế giới, ước tính có hơn 60% website sử dụng CMS là Wordpress, trong đó có khoảng 200.000 website cài đặt Code Snippets. Riêng tại Việt Nam, theo các chuyên gia VSEC, khoảng 40% website sử dụng nền tảng Wordpress.

Liên quan đến nguy cơ bị tấn công mạng của các website sử dụng nền tảng Wordpress, trong báo cáo an ninh website năm 2019 mới được Công ty an toàn thông tin CyStack công bố hôm nay, ngày 11/2/2020, đơn vị này đã cho biết, kết thúc năm dương lịch 2019, hệ thống CyStack Attack Map ghi nhận hơn 9.300 vụ xâm phạm vào các website của các tổ chức, doanh nghiệp tại Việt Nam. Gần 3/4 số trang web bị hack tại Việt Nam sử dụng nền tảng quản trị nội dung WordPress, theo sau là Drupal và Joomla với lần lượt 12,99% và 6,7% số website bị tấn công.