Kampanye eksploitasi yang meluas menargetkan situs web WordPress dengan plugin GutenKit dan Hunk Companion yang rentan terhadap masalah keamanan lama dengan tingkat keparahan kritis yang dapat digunakan untuk mencapai eksekusi kode jarak jauh (RCE).
Perusahaan keamanan WordPress Kata Wordfence bahwa mereka memblokir 8,7 juta upaya serangan terhadap pelanggannya hanya dalam dua hari, 8 dan 9 Oktober.
Kampanye ini menunjukkan tiga kelemahan, yang dilacak sebagai CVE-2024-9234, CVE-2024-9707, dan CVE-2024-11972, semuanya berperingkat kritis (CVSS 9.8).
CVE-2024-9234 adalah kelemahan titik akhir REST yang tidak diautentikasi pada plugin GutenKit dengan 40.000 pemasangan yang memungkinkan pemasangan plugin sewenang-wenang tanpa autentikasi.
CVE-2024-9707 Dan CVE-2024-11972 ada kerentanan otorisasi yang hilang di titik akhir REST themehunk-import dari plugin Hunk Companion (8.000 pemasangan) yang juga dapat menyebabkan pemasangan plugin sewenang-wenang.
Penyerang yang terotentikasi dapat memanfaatkan kerentanan untuk memperkenalkan plugin rentan lainnya yang memungkinkan eksekusi kode jarak jauh.
- CVE-2024-9234 memengaruhi GutenKit 2.1.0 dan versi lebih lama
- CVE-2024-9707 berdampak pada Hunk Companion 1.8.4 dan yang lebih lama
- CVE-2024-11972 berdampak pada Hunk Companion 1.8.5 dan versi sebelumnya
Perbaikan untuk ketiga kerentanan tersebut tersedia di Gutenkit 2.1.1, yang dirilis pada Oktober 2024, dan Hunk Companion 1.9.0, yang dirilis pada Desember 2024. Namun, meskipun vendor telah memperbaikinya hampir setahun yang lalu, banyak situs web terus menggunakan versi yang rentan.
Sumber: Wordfence
Pengamatan Wordfence berdasarkan data serangan menunjukkan bahwa para peneliti mengatakan bahwa pelaku ancaman menghosting plugin berbahaya di GitHub dalam arsip .ZIP yang disebut ‘up’.
Arsip berisi skrip yang dikaburkan yang memungkinkan pengunggahan, pengunduhan, dan penghapusan file, serta mengubah izin. Salah satu skrip yang dilindungi kata sandi, disamarkan sebagai komponen plugin All in One SEO, digunakan untuk login otomatis penyerang sebagai administrator.
Penyerang menggunakan alat ini untuk menjaga persistensi, mencuri atau menjatuhkan file, menjalankan perintah, atau mengendus data pribadi yang ditangani oleh situs.
Ketika penyerang tidak dapat langsung mengakses backdoor admin penuh melalui paket yang terinstal, mereka sering menginstal plugin ‘wp-query-console’ yang rentan yang dapat dimanfaatkan untuk RCE yang tidak diautentikasi.
Wordfence telah mencantumkan beberapa alamat IP yang mendorong permintaan berbahaya ini dalam jumlah besar, yang dapat membantu menciptakan pertahanan terhadap serangan ini.
Sebagai indikator kompromi, para peneliti mengatakan bahwa administrator harus mencarinya /wp-json/gutenkit/v1/install-active-plugin Dan /wp-json/hc/v1/themehunk-import permintaan di log akses situs.
Mereka juga harus memeriksa direktori /ke atas, /pemangkas-gambar-latar belakang, /ultra-seo-prosesor-wp, / membatasiDan /wp-query-consoleuntuk entri jahat apa pun.
Administrator disarankan untuk selalu memperbarui semua plugin di situs web mereka ke versi terbaru yang tersedia dari vendor.
