RTR 研究人员发现 WordPress 插件中 2 个新零日漏洞

Andrew2021-02-04 11:03:58

RTR的研究人员在重新加载WordPress插件限制登录尝试中发现了2个新的零日漏洞

意大利也加入了安全漏洞研究,其中一家重要的电信公司Tim的RTRh实验室也参与了这项研究。

该团队的目标之一是检测潜在攻击者可利用的漏洞,以对TIM的基础结构进行网络攻击,并突出显示所检测到的实际影响。

该活动不仅限于验证已知漏洞,还包括旨在发现尚未公开的任何新漏洞(漏洞0天)的特定研究。

今天,由Massimiliano Brolli领导的TIM红色团队研究在限制登录尝试重新加载WordPress插件中发现了2个新漏洞。插件开发人员WPChef已在2020年6月至2020年12月间解决了这些漏洞。

这个WordPress插件旨在成为一种暴力攻击保护机制,目前已安装在超过一百万的活动安装中。

WordPress零时区TIM

根据作者页面上的插件描述:

“重新加载的限制登录尝试次数可以限制蛮力攻击并通过限制正常登录以及XMLRPC,Woocommerce和自定义登录页面可能进行的登录尝试次数来优化站点性能。”

网络安全研究员Veno Eivazian在一系列实验室测试中发现了两个安全问题。一种是非默认配置下的速率限制绕过,这实际上无法达到插件的目的。另一个是未经身份验证的反射XSS。

  • 第一个是对身份验证尝试的不当限制(CWE-307),标识为CVE-2020-35590,其CVSS3得分为9.8。
  • 第二个问题是网页生成过程中输入的不正确中和(CWE-79),被识别为CVE-2020-35589,CVSS3得分为5.4。

一段时间以来,我们一直在目睹由意大利电信公司TIM的这个称为Red Team Research(RTR)的IT安全实验室发布的一系列未记录的漏洞,该漏洞已经在大约一年的时间内确定了37种新的CVE。

该实验室已从公司网站上的公共资源中识别出了Oracle, Nokia, Siemens, Schneider Electric, QNAP, Selesta, WOWZA, MultiUX 和最近的WordPress等供应商的漏洞,从而有助于提高整体IT安全性。

TIM研究人员(前身为Telecom Italia SpA)发现的CVE的完整列表可在TIM公司网站上找到:

TIM是意大利主要的电信公司之一,它是为数不多的致力于寻找无证漏洞的意大利工业公司之一。

网络安全零日漏洞
本作品采用《CC 协议》,转载必须注明作者和本文链接
2021年最后一个季度与第三季度相比,感在本季度,专业服务部门是攻击的最大目标,其次是技术/电信、医疗保健、制造业、金融服务和教育部门。 尽管CVE和零日攻染载体为CVE或零日漏洞的攻击数量疯狂增长了356%。Kroll公司的最新威胁景观报告显示,CVE/零日漏洞利用现在已经占到安全事件案例的26.9%,表明攻击者越来越善于利用漏洞,在某些情况下,甚至在概念验证漏洞出现的同一天就利用了这些漏洞
网络安全和IT管理软件巨头Ivanti的两款产品(Connect Secure VPN和Ivanti Policy Secure网络访问控制设备)曝出的两个零日漏洞近日在全球范围被大规模利用于部署后门、挖矿软件和自定义恶意软件。
网络安全公司NCC Group周日表示,它已检测到针对SonicWall网络设备中零日漏洞的主动攻击。有关漏洞性质的细节尚未公开,以防止其他威胁行为者对其进行研究并发动自己的攻击。NCC研究人员表示,他们已在周末通知SonicWall这个漏洞和攻击。研究人员认为,他们发现了与SonicWall 1月23日披露的安全漏洞相同的零日漏洞,一名黑客利用该漏洞进入SonicWall自己的内部网络。SonicWall发言人未回复置评请求,以确认NCC研究人员是否发现了相同的零日或新的零日漏洞
7月底,谷歌网络安全项目Project Zero发布报告,描述2019年网络攻击中的漏洞利用,得出了关于零日漏洞检测的一些有趣结论。Stone还指出,在微软产品中发现的11个零日漏洞里,只有4个针对Windows 10用户,这也可能是检测偏差的一个指征。相反,这一现象恰恰表明,安全行业应该重点检测针对上述操作系统的攻击。这很令人惊讶,因为供应商应该更便于检测零日漏洞
一些没有被软件制造商所发现的漏洞,正在被很多的黑客组织以及勒索软件团伙进行利用。PrestaShop表示,没有被攻击的用户,在不需要使用MySQL Smarty缓存存储功能的时候,建议删除该功能,虽然这个功能是默认禁用的,但是调查发现,这次的攻击中有黑客独立启用它的证据。
未经身份验证的攻击者能够利用Ultimate Member插件中的这个特权提升漏洞来创建具有管理员权限的恶意账户,从而完全接管受影响的网站。WPScan的博客表明,这些攻击至少从6月初以来一直在进行,一些用户已经观察到并报告了相关可疑活动,如未经授权的管理员账户的创建。作为对此漏洞的回应,Ultimate Member插件的开发者立即发布了一个新版本2.6.4,然而仍然存在绕过此补丁的方式,漏洞仍能够被利用。
梭子鱼于5月20日向所有邮件安全网关设备推送安全补丁解决了该问题,并在一天后通过部署专用脚本阻止攻击者访问受感染的设备。5月24日,梭子鱼警告客户其邮件安全网关设备可能已被攻击者利用零日漏洞入侵,建议他们展开安全审查,确保攻击者没有横向移动到网络上的其他设备。
1、Accellion零日漏洞攻击:及时更新并安装补丁 2021年2月,美国、加拿大、荷兰及其他国家和地区的多个组织遭到严重的数据泄露,原因在于使用的FTA(File Transfer Appliance)文件传输服务存在漏洞。其中,美国零售巨头克罗格是最大的受害者之一,旗下药房及诊所的员工及服务客户数据被曝光。另外,能源巨头壳牌公司、众达律师事务所、新加坡电信、华盛顿州和新西兰储备银行等均在受
研究人员近期发现,Lazarus 黑客组织正在试图利用 Windows AppLocker 驱动程序 appid.sys 中的零日漏洞 CVE-2024-21338,获得内核级访问权限并关闭安全工具,从而能够轻松绕过 BYOVD(自带漏洞驱动程序)技术。
Andrew
暂无描述