Najhujša napaka vodi do oddaljenega izvajanja kode, če je izkoriščena.
Dve hudi ranljivosti sta bili popravljeni v vtičniku Facebook za WordPress.
Varnost
- 8 navad zelo varnih delavcev na daljavo
- Kako najti in odstraniti vohunsko programsko opremo iz telefona
- Najboljše storitve VPN: Kakšna je primerjava najboljših 5?
- Kako ugotoviti, ali ste vpleteni v kršitev podatkov – in kaj storiti naprej
Razkrila ekipa Wordfence Threat Intelligence ta teden, vpliv hroščev Facebook za WordPress, prej znan kot uradni Facebook Pixel.
Vtičnik, ki se uporablja za zajemanje uporabnikovih dejanj, ko obiščejo stran, in za spremljanje prometa na spletnem mestu, je bil nameščen na več kot 500.000 spletnih mestih.
22. decembra so raziskovalci kibernetske varnosti prodajalcu zasebno razkrili kritično ranljivost, ki je prejela oceno resnosti CVSS 9. Ranljivost, opisana kot vbrizgavanje predmeta PHP, je bila najdena v funkciji run_action() programske opreme.
Če je bil ustvarjen veljaven nonce – na primer z uporabo skripta po meri – bi lahko napadalec vtičnik opremil s PHP predmetov za zlonamerne namene in gredo tako daleč, da naložijo datoteke na ranljivo spletno mesto in dosežejo oddaljeno izvajanje kode (RCE).
"Ta napaka je omogočila nepreverjenim napadalcem z dostopom do skrivnih soli in ključev spletnega mesta, da dosežejo oddaljeno izvajanje kode prek deserializacijske šibkosti," pravi ekipa.
Druga ranljivost, ki je bila zelo pomembna, je bila odkrita 27. januarja. Varnostna napaka pri ponarejanju zahtev med spletnimi mesti, ki vodi do težave s skriptiranjem med spletnimi mesti, je bila uvedena po naključju, ko je bil vtičnik preimenovan.
Ko je bila programska oprema posodobljena, je bila uvedena funkcija AJAX za lažjo integracijo vtičnikov. Vendar pa je težava s preverjanjem dovoljenj v funkciji odprla pot za napadalce, da oblikujejo zahteve, ki jih je mogoče izvesti. "če bi lahko pretentali skrbnika, da izvede dejanje, medtem ko je pristnost na ciljnem spletnem mestu," pravi Wordfence.
"Dejanje bi lahko napadalec uporabil za posodobitev nastavitev vtičnika, da bi kazal na svojo lastno konzolo Facebook Pixel in ukradel metrične podatke za spletno mesto," pravi ekipa. "Še huje, ker shranjene nastavitve niso bile razčiščene, bi lahko napadalec v vrednosti nastavitev vbrizgal zlonamerni JavaScript."
Zlonamerni JavaScript se lahko na primer uporabi za ustvarjanje stranskih vrat v temah ali ustvarjanje novih skrbniških računov za ugrabitev celotnih spletnih mest.
Facebookova varnostna ekipa je poročila sprejela in 6. januarja je izdala popravek za prvo ranljivost, 12. februarja pa je sledil drugi popravek. Vendar je bilo treba popravek za drugo napako prilagoditi in popoln popravek je bil objavljen šele 17. februarja.
Obe ranljivosti sta bili posodobljeni v različici 3.0.4, zato je priporočljivo, da spletni skrbniki posodobijo na najnovejšo razpoložljivo različico vtičnika, ki je trenutno 3.0.5.
ZDNet se je obrnil na Facebook za komentar in posodobili bomo, ko bomo prejeli odgovor.
Prejšnja in sorodna pokritost
-
Facebook pravi, da so kitajski hekerji uporabili njegovo platformo v ciljani kampanji za okužbo in nadzor uporabniških naprav
-
Facebook širi podporo za varnostne ključe na iOS in Android
-
Cloudflare lansira Page Shield, da prepreči napade posnemanja kartic Magecart
Imate namig? Varno stopite v stik prek WhatsApp | Signal na +447713 025 499 ali na Keybase: charlie0