レスポンスタイムを高速化するために使用されるWordPressプラグインLiteSpeed Cacheに影響する重大な脆弱性を、技術的な詳細が公開されてから1日後、ハッカーがすでに悪用し始めている。
このセキュリティ問題はCVE-2024-28000として追跡されており、6.3.0.1までのWordPressプラグインのすべてのバージョンで、認証なしで特権を昇格させることができる。
この脆弱性は、プラグインのユーザーシミュレーション機能における弱いハッシュチェックに起因しており、攻撃者はハッシュ値をブルートフォースして不正な管理者アカウントを作成することができます。
これにより、影響を受けたウェブサイトが完全に乗っ取られ、悪意のあるプラグインのインストール、重要な設定の変更、悪意のあるサイトへのトラフィックのリダイレクト、ユーザーデータの窃取などが可能になる。
PatchstackのRafie Muhammad氏は、昨日の投稿でハッシュ生成のトリガー方法の詳細を共有し、ハッシュをブルートフォースして特権をエスカレートさせ、REST API経由で新しい管理者アカウントを作成する方法を示した。
ムハンマド氏の方法は、毎秒3回のリクエストで100万通りのセキュリティ・ハッシュ値を循環させるブルートフォース攻撃により、最短で数時間、最長で1週間で、任意のユーザーIDとしてサイトにアクセスできることを実証した。
LiteSpeed Cacheは500万以上のサイトで使用されている。この記事を書いている時点で、このプラグインの安全なバージョンを実行しているのは約30%に過ぎず、数百万もの脆弱なウェブサイトが攻撃対象になっている。
WordPressのセキュリティ会社であるWordfenceは、過去24時間の間にCVE-2024-28000を標的とした48,500以上の攻撃を検出しブロックしたと報告している。
WordfenceのChloe Charmberlandは昨日、このシナリオについて警告し、”この脆弱性が間もなく活発に悪用されることに疑いの余地はない “と述べた。
ハッカーがLiteSpeed Cacheを標的にしたのは今年2度目だ。5月には、攻撃者がクロスサイトスクリプティングの欠陥（CVE-2023-40000）を利用して不正な管理者アカウントを作成し、脆弱なウェブサイトを乗っ取った。
当時、WPScanは、脅威行為者が4月に標的のスキャンを開始し、1つの悪意のあるIPアドレスから120万回以上のプローブが検出されたと報告していた。
LiteSpeed Cacheのユーザーは、利用可能な最新バージョンである6.4.1にできるだけ早くアップグレードするか、ウェブサイトからプラグインをアンインストールすることが推奨される。
Comments