พบช่องโหว่ใหม่บน WordPress เสี่ยงถูกแฮ็กโดยไม่ต้องพิสูจน์ตัวตน

Simon Scannel นักวิจัยด้านความมั่นคงปลอดภัยจาก RIPS Technologies GmbH ออกมาแจ้งเตือนถึงช่องโหว่ใหม่บนซอฟต์แวร์ CMS ยอดนิยมอย่าง WordPress ซึ่งช่วยให้แฮ็กเกอร์สามารถลอบรันคำสั่งแปลกปลอมและเข้าควบคุมไซต์ได้โดยไม่ต้องแม้แต่พิสูจน์ตัวตน แนะนำให้ผู้ดูแลระบบรีบอัปเดตแพตช์โดยเร็ว

ช่องโหว่ที่ค้นพบนี้เป็นช่องโหว่ Cross-site Request Forgery (CSRF) บนฟีเจอร์ Comment ของ WordPress ซึ่งเป็นส่วนประกอบหลักที่ถูกเปิดใช้งานโดย Default ซึ่งช่วยให้แฮ็กเกอร์สามารถโจมตีแบบ Remote Code Execution จากระยะไกลโดยไม่จำเป็นต้องพิสูจน์ตัวตนได้

Scannel ได้ให้ความเห็นว่า ช่องโหว่นี้มีสาเหตุมาจากการที่ WordPress ไม่มีการตรวจสอบ CSRF เมื่อผู้ใช้โพสต์ Comment ใหม่ลงไป ช่วยให้แฮ็กเกอร์สามารถโพสต์ข้อความในฐานะ Admin ของไซต์ได้ รวมไปถึงสามารถใส่แท็ก HTML หรือแม้แต่ JavaScript ลงไปใน Comment ได้ด้วย นอกจากนี้ Frontend ของ WordPress ยังไม่มีการป้องกัน X-Frame-Options Header เมื่อนำช่องโหว่ทั้งหมดมารวมกัน ทำให้แฮ็กเกอร์สามารถแอบยิง Stored XSS Payload ไปยังเว็บไซต์เป้าหมายโดยหลอกให้ผู้ดูแลระบบที่ล็อกอิน WordPress ค้างไว้อยู่แล้ว เข้าถึงเว็บไซต์ของตนที่เตรียม Exploit Code ไว้ได้ ผลลัพธ์คือแฮ็กเกอร์สามารถเข้าควบคุมไซต์ WordPress ได้ทั้งหมดจากระยะไกล

ช่องโหว่นี้ส่งผลกระทบบน WordPress 5.1.0 และก่อนหน้านั้น แนะนำให้ผู้ให้อัปเดตแพตช์เวอร์ชัน 5.1.1 โดยเร็ว

ที่มา: https://thehackernews.com/2019/03/hack-wordpress-websites.html


About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

โปรโมชั่น Veritas Backup Exec (BE) “Rainy Season Promotion” รับฟรี iPad, GoPro, FITBIT

Veritas จัดโปรโมชั่นพิเศษสุด ต้อนรับหน้าฝน ปี 2562 เพียงซื้อ Backup Exec แบบ Capacity Edition 2 TB หรือ V-Ray Edition 2 socket จากตัวแทนจำหน่าย ที่ร่วมรายการ พร้อมสิทธิ์เลือกรับของขวัญได้ 1 อย่างทันที ดังรายละเอียดต่อไปนี้

เปิดตัว Dell Latitude 10th Generation แบตทนสุด 20 ชั่วโมง รองรับ Wi-Fi 6/Gigabit LTE

ในงาน Dell Technologies World 2019 ที่ผ่านมา มีอีกหนึ่งอัปเดตใหญ่ (ที่ทีมงาน TechTalkThai เพิ่งว่างจะมาเขียนกัน) ก็คือการเปิดตัวของ Dell Latitude อุปกรณ์ Notebook สำหรับการทำงานโดยเฉพาะใน Generation ที่ 10 ซึ่งมาพร้อมกับความสามารถที่ใหม่ๆ อย่างเช่น แบตเตอรี่ที่รองรับการใช้งานได้นานถึง 20 ชั่วโมง, การปรับไปใช้ Bio-Metric และ Multi-Factor เป็นหลัก และ Dock แบบ Modular ที่สามารถอัปเกรดได้