พบช่องโหว่ Zero day ของ WordPress Plugin

พบช่องโหว่ Zero day ของ WordPress Plugin

ผู้ไม่ประสงค์ดีได้ทำการแสกนหาเว็บไซต์ที่มีการใช้งาน Plugin Fancy Product Designer ซึ่งเป็น Plugin ที่ใช้ในการปรับแต่งผลิตภัณฑ์สินค้าบน WordPress, Woo Commerce และ Shopify จากข้อมูลสถิติการขายปลั๊กอิน Fancy Product Designer พบว่ามีการจำหน่ายและติดตั้งใช้งาน Plugin นี้บนเว็บไซต์แล้วมากกว่า 17,000 แห่ง

ผู้โจมตีที่ใช้ข้อบกพร่องของ Fancy Product Designer ได้สำเร็จจะสามารถเลี่ยงการตรวจสอบของ blocking malicious files เพื่อไปแก้ไขไฟล์ PHP เพื่อเรียกใช้งาน บนเว็บไซต์ที่ได้ติดตั้ง Plugin ซึ่งจะทำให้ผู้โจมตีสามารถเข้าควบคุมเว็บไซต์ได้อย่างสมบูรณ์จากการใช้การโจมตีจากระยะไกล (RCE : Remote code execution)

นักวิเคราะห์ด้านความปลอดภัย Gall ได้กล่าวกับ Bleeping Computer ว่าผู้โจมตีดูเหมือนจะกำหนดเป้าหมายเป็นเว็บไซต์ด้าน e-commerce และพยายามที่จะดึงข้อมูลเกี่ยวกับคำสั่งซื้อจากฐานข้อมูลของเว็บไซต์ เนื่องจากข้อมูลเหล่านั้นจะประกอบไปด้วยข้อมูลส่วนบุคคลที่จะระบุตัวตนของลูกค้าได้ ซึ่งเจ้าของเว็บไซต์จะยังไม่ปลอดภัยถ้าหากพวกเขายังใช้ plugin ที่ยังมีช่องโหว่อยู่ และมีความเสี่ยงต่อการปฏิบัติตามมาตรฐานความปลอดภัย PCI-DSS อีกด้วย แม้ว่าการโจมตีผ่านช่องโหว่นี้จะยังไม่ได้รับผลกระทบในวงกว้าง แต่ได้มีการกำหนดเป้าหมายการโจมตีไว้หลายพันแห่งที่ใช้ Plugin ดังกล่าว

ขอแนะนำให้ลูกค้าติดตั้งแพตช์ Fancy Product Designer ให้เป็น เวอร์ชัน 4.6.9 ซึ่งได้มีการเผยแพร่ออกมาในวันที่ 2 มิถุนายนโดยทันที ข้อมูลโดยละเอียดเกี่ยวกับวิธีอัปเดต plugin และ IOC สามารถดูรายละเอียดเพิ่มเติมได้ในรายงานของ wordfence

ที่มา : bleepingcomputer