Siga o Suporte Ninja por email

quinta-feira, 2 de março de 2017

Cuidado: Milhões de sites WordPress estão vulneráveis a ataques SQL Inject - Suporte Ninja

Cuidado: Milhões de sites WordPress estão vulneráveis a ataques SQL Inject - Suporte Ninja: Cuidado: Milhões de sites WordPress estão vulneráveis a ataques SQL Inject Um popular plugin de galeria do WordPress com mais de um milhão de instalações ativas possuía uma vulnerabilidade que expõe os bancos de dados dos sites para os atacantes. Essa falha foi corrigida, saiba mais.


Um popular plugin de galeria do WordPress com mais de um milhão de instalações ativas possuía uma vulnerabilidade que expõe os bancos de dados dos sites para os atacantes. Essa falha foi corrigida, saiba mais.

O famoso plugin “NextGEN Gallery” é um sistema de gerenciamento de galeria de fotos muito utilizado por fotógrafos profissionais e em uma gama de sites que efetuam upload de fotos, classificam e agrupam galerias. Este plugin possui mais de 16 milhões de downloads e foi desenvolvido em 2007.
“Esta vulnerabilidade permite que um usuário não autenticado capture dados do banco de dados do site da vítima, incluindo informações de usuários sensíveis”, disse o pesquisador Slavco Mihajloski. “Esta é uma questão bastante crítica. Se você estiver utilizando uma versão vulnerável deste plugin, atualize o mais rápido possível!”.
“Este problema existia porque NextGEN Gallery permitia um input do usuário sanitizado de maneira incorreta em uma SQL querypreparada para o WordPress, que é basicamente o mesmo que adicionar o input do usuário dentro de uma raw SQL query”, disse Mihajloski. “Usando este vetor de ataqueum atacante pode vazar senhas hash e chaves secretas do WordPress em determinadas configurações.”
Cuidado: Milhões de sites WordPress estão vulneráveis a ataques SQL Inject
Mihajloski disse que um atacante precisaria abusar de uma string $container_ids para disparar o exploit. Ele poderia fazê-lo modificando a URL da galeria “NextGEN Basic TagCloud“, ou ao usar a tag shortcode da galeria.
Cuidado: Milhões de sites WordPress estão vulneráveis a ataques SQL Inject

Mascote do Suporte Ninja
Se gostou da nossa iniciativa comente, curta ou compartilhe! Esse estímulo é muito importante para a nossa equipe e reflete diretamente na possibilidade de trazermos mais conteúdos que você venha a gostar!

“Com esse conhecimento, um atacante não autenticado poderia adicionar diretivas extra sprintf/printf em uma consulta SQL e usar o comportamento do $wpdb->prepare’s para adicionar códigos controlados pelo invasor à consulta executada”, disse Mihajloski.

O repositório de plugins do WordPress vêm tirando o sono das equipes de segurança em TI há algum tempo. 

Um relatório de pesquisa de dezembro, feita pelo cofundador do RIPS, Hendrik Buchwald, disse que a porcentagem de plugins vulneráveis era alta, mas que isso ocorria devido ao número elevado de utilização do WordPress. Buchwald disse que analisou mais de 10.000 plugins com mais de 500 linhas de código e descobriu que 43% possuíam pelo menos uma vulnerabilidade de gravidade média. De acordo com a pesquisa, os plugins com menos de 1.000 linhas de código tinham quase zero vulnerabilidades. Enquanto uma grande porcentagem dos sites da internet podem ser construídos no WordPress, a pesquisa do RIPS sugere que apenas uma pequena porcentagem dos plugins usados nesses sites contém vulnerabilidades.

Os Crackers podem explorar essa vulnerabilidade  (Usando o  método TagCloud) que ficaria assim:

http://site-alvo.com/2017/01/17/new-one/nggallery/tags/test%251%24%25s))%20or%201=1%23
Ou:
http://site-alvo.com/2017/01/17/new-one/nggallery/tags/test%251%24%25s))%20or%201=2%23

  • Security Risk: Critical
  • Exploitation Level: Easy/Remote
  • DREAD Score: 9
  • Vulnerability: SQL Injection
  • Patched Version: 2.1.79
Recentemente, os usuários da plataforma WordPress ficaram diante de uma vulnerabilidade crítica no código principal, sendo corrigido em uma recente atualização de segurança na versão 4.7.2.

Os crackers conseguiram capitalizarar rapidamente, explorando uma vulnerabilidade no endpoint do REST API para desfigurar mais de um milhão de sites.

Eventualmente, os atacantes tentaram monetizar esses ataques, deixando para trás links apontando para sites farmacêuticos fraudulentos, tentando fazer com que os usuários de spam comprassem drogas ou os atraíssem para fraudes de phishing tentando roubar dados de cartões de pagamento.