Facebook WordPress 插件存在两个严重漏洞,允许黑客远程代码执行

Andrew 2021-03-29
专栏 - 资讯 发布于 2021-03-29 11:12:17 阅读 105 评论 0

官方Facebook for WordPress插件中的关键漏洞可能被滥用以进行远程代码执行攻击。

Wordfence的研究人员在WordPress插件的Facebook中发现了两个漏洞,该漏洞有超过500,000个安装。该插件使管理员可以捕获人们在与页面交互时所执行的操作,例如Lead,ViewContent,AddToCart,InitiateCheckout和Purchase事件。

“2020年12月22日,我们的威胁情报团队负责地披露了Facebook中WordPress的一个漏洞,该漏洞以前称为Official Facebook Pixel,这是一个安装在500,000多个站点上的WordPress插件。” 读取后通过WordFence出版。“此漏洞使未经身份验证的攻击者可以访问站点的秘密盐和密钥,从而通过反序列化漏洞实现远程代码执行。”

这个问题被描述为带有POP链的PHP对象注入,未经身份验证的攻击者可能会利用此问题来访问站点的秘密和密钥,并利用反序列化漏洞来实现远程代码执行。

攻击者只能使用有效的随机数来利用此问题,因为handle_postback函数需要有效的随机数。

“HP对象注入漏洞的核心是在run_action()函数中。此功能旨在从event_data POST变量中反序列化用户数据,以便可以将数据发送到像素控制台。不幸的是,该event_data可以由用户提供。” 继续该职位。“当用户提供的输入在PHP中反序列化时,用户可以提供PHP对象,这些对象可以触发magic方法并执行可用于恶意目的的动作。”

专家指出,即使反序列化漏洞与小工具或魔术方法结合使用时可能相对无害,也会对站点造成“重大破坏”。这意味着可以将WordPress中Facebook的漏洞与magic方法结合使用,以上传任意文件并执行远程代码。

“这意味着攻击者可以在易受攻击的站点的主目录中生成包含内容的PHP文件new.php。PHP文件的内容可以更改为任何内容,例如允许攻击者实现远程代码执行。”Wordfence分析说。

该漏洞被评为严重严重程度,其CVSS评分为10(满分9分)。

专家于12月22日向该社交网络巨头报告了该漏洞,并于1月6日修复了该漏洞,并发布了新版本。

Facebook修复了该漏洞后,安全研究人员在更新的插件中发现了“跨站点请求伪造到存储的跨站点脚本”漏洞。该漏洞被评为高度严重,其CVSS评分为8.8。该漏洞已于1月27日报告给Facebook,并于2021年2月26日得到解决。

“他们在更新插件时所做的一项更改解决了保存插件设置背后的功能。这已转换为AJAX操作,以使集成过程更加无缝。新版本引入了与saveFbeSettings函数关联的wp_ajax_save_fbe_settings AJAX操作。” 陈述咨询。“此功能用于通过Facebook Pixel ID,访问令牌和外部业务密钥更新插件的设置。这些设置有助于与Facebook像素控制台建立连接,以便可以将事件数据从WordPress网站发送到相应的Facebook像素帐户。”

攻击者可能利用此问题来更新插件的设置并窃取网站的指标数据,还将恶意JavaScript代码注入到设置值中。

然后,这些值将反映在“设置”页面上,从而使代码在访问设置页面时在站点管理员的浏览器中执行。专家发现,该代码可用于将恶意后门注入主题文件或创建新的管理用户帐户,从而可以接管该站点。

本作品采用《CC 协议》,转载必须注明作者和本文链接
讨论数量: 0
(= ̄ω ̄=)··· 暂无内容!
请勿发布不友善或者负能量的内容。与人为善,比聪明更重要!