Lỗ hổng cập nhật WordPress nằm ở vùng staging
Điểm kỹ thuật đáng chú ý của lỗ hổng cập nhật WordPress là các đường dẫn staging có thể dự đoán và truy cập qua web trong lúc nâng cấp. Theo Defiant, đây là lỗi race condition trong quy trình cập nhật Core, có thể bị khai thác không cần xác thực và dẫn đến thực thi mã từ xa. Tuy nhiên, độ phức tạp của cuộc tấn công được đánh giá ở mức cao. Vì vậy, cần phân biệt khả năng tiếp cận từ xa với khả năng khai thác thành công.
Từ đường dẫn dự đoán được đến nguy cơ thực thi mã
Trong phạm vi dữ kiện được công bố, có thể phân tích cơ chế theo ba mắt xích:
- Bề mặt tiếp cận xuất hiện trong quá trình nâng cấp. Điểm yếu bắt nguồn từ đường dẫn staging vừa có thể dự đoán, vừa truy cập được qua web. Đây là chi tiết cần chú ý khi đánh giá hoạt động cập nhật, vì vùng dữ liệu phục vụ nâng cấp có liên quan trực tiếp đến bề mặt tấn công.
- Race condition nằm trong quy trình cập nhật Core. Theo Defiant, việc khai thác không yêu cầu xác thực. Tuy nhiên, thông tin hiện có chưa mô tả chi tiết điều kiện thời gian hoặc toàn bộ trình tự khai thác; không đủ cơ sở để kết luận mọi truy cập vào staging đều dẫn đến thực thi mã.
- Hậu quả có thể đạt tới thực thi mã từ xa. Đây là tác động tiềm tàng của lỗ hổng. Độ phức tạp tấn công cao là yếu tố cần đưa vào đánh giá, nhưng không làm mất đi mức độ nghiêm trọng của hậu quả nếu khai thác thành công.
Bản vá thay đổi cách xử lý staging
Lỗ hổng được vá ngày 28 tháng 10 trong WordPress 7.1.4. Các bản sửa cũng được chuyển ngược về những nhánh từ WordPress 4.7 trở lên. Lỗ hổng hiện chưa được cấp mã CVE.
Thay đổi bảo mật gồm ba phần: ngẫu nhiên hóa thư mục staging, thêm cơ chế bảo vệ index và ngăn việc đưa dữ liệu cấu hình staging lên theo cách không an toàn. Như vậy, bản sửa tác động cả đến tính dự đoán của thư mục lẫn cách xử lý dữ liệu staging. Dữ kiện công bố chưa đủ để mô tả sâu hơn vai trò riêng của từng thay đổi trong chuỗi khai thác.
Hoạt động tấn công và giới hạn của bằng chứng
Defiant cảnh báo tác nhân đe dọa bắt đầu khai thác chỉ trong vài giờ sau khi bản vá được phát hành. Tuy nhiên, Wordfence chưa báo cáo trường hợp xâm nhập thành công nào. Hai thông tin này cần được giữ tách biệt khi báo cáo cho lãnh đạo: đã có cảnh báo về hoạt động khai thác, còn kết quả xâm nhập thành công chưa được Wordfence ghi nhận.
Với SOC, thông tin về hoạt động khai thác là cơ sở để tăng ưu tiên rà soát. Một yêu cầu web đáng ngờ vẫn cần được đối chiếu với bằng chứng trên hệ thống trước khi kết luận máy chủ đã bị chiếm quyền.
Ưu tiên phòng thủ cho doanh nghiệp Việt Nam
Theo góc nhìn TMGS, doanh nghiệp Việt Nam vận hành WordPress nên đưa quy trình cập nhật lõi vào phạm vi giám sát bảo mật. Chính hoạt động nâng cấp là bối cảnh xuất hiện điểm yếu được mô tả, nên việc quản lý phiên bản cần đi cùng kiểm tra sau cập nhật.
TMGS khuyến nghị:
- Kiểm kê các hệ thống WordPress, xác minh phiên bản đã cài và triển khai bản sửa phù hợp với nhánh đang sử dụng; kiểm tra kết quả sau cập nhật.
- Rà soát quyền truy cập web đối với thư mục tạm và staging, áp dụng giới hạn truy cập phù hợp sau khi kiểm tra tương thích.
- Đối chiếu nhật ký truy cập web với thời điểm nâng cấp; điều tra yêu cầu bất thường cùng thay đổi tệp, cấu hình hoặc dấu hiệu thực thi mã ngoài dự kiến.
- Duy trì bản sao lưu đã kiểm tra khả năng phục hồi và giới hạn quyền của tiến trình web để giảm tác động nếu xảy ra xâm nhập.
Nguồn tham khảo
SecurityWeek: Fresh WordPress Vulnerability in Attackers’ Crosshairs