A versão gratuita do Plugin LiteSpeed Cache recebeu a correção de uma falha crítica que pode dar acesso de administrador a hackers, no WordPress.
O LiteSpeed Cache é um plugin de cache usado por mais de seis milhões de sites WordPress, ajudando a acelerar e melhorar a experiência de navegação do usuário.
Agora, a versão gratuita do popular plugin WordPress LiteSpeed Cache recebeu a correção de uma falha perigosa de elevação de privilégios em sua versão mais recente que poderia permitir que visitantes não autenticados do site obtivessem direitos de administrador.
Plugin LiteSpeed Cache recebeu a correção de uma falha crítica
Sim. O Plugin LiteSpeed Cache recebeu a correção de uma falha crítica. A falha de alta gravidade recém-descoberta rastreada como CVE-2024-50550 é causada por uma verificação de hash fraca no recurso “simulação de função” do plugin, projetado para simular funções de usuário para auxiliar o rastreador em varreduras de site de diferentes níveis de usuário.
A função do recurso (‘is_role_simulation()’) executa duas verificações primárias usando valores de hash de segurança fracos armazenados em cookies (‘litespeed_hash’ e ‘litespeed_flash_hash’).
No entanto, esses hashes são gerados com aleatoriedade limitada, tornando-os previsíveis sob certas configurações.
Especificamente, para que o CVE-2024-50550 seja explorável, as seguintes configurações no rastreador precisam ser configuradas:
- Duração e intervalos de execução definidos entre 2.500 e 4.000 segundos.
- O limite de carga do servidor é definido como 0.
- A simulação de função é definida como administrador.
O pesquisador de segurança do Patchstack, Rafie Muhammad, explica em seu artigo que, apesar dos valores de hash terem 32 caracteres, um invasor pode prever/aplicar força bruta dentro de um conjunto de um milhão de possibilidades.
Um invasor que explora com sucesso essa falha pode simular uma função de administrador, o que significa que ele pode carregar e instalar plug-ins arbitrários ou malware, acessar bancos de dados de back-end, editar páginas da web e muito mais.
A falha foi descoberta por um pesquisador taiwanês e relatada ao Patchstack em 23 de setembro de 2024, que contatou a equipe do LiteSpeed no dia seguinte.
Um PoC totalmente funcional apresentando um cenário de exploração realista estava pronto em 10 de outubro e compartilhado com o LiteSpeed para consideração adicional.
Em 17 de outubro, o fornecedor, LiteSpeed Technologies, lançou uma correção para CVE-2024-50550 na versão 6.5.2 do plugin, melhorando a aleatoriedade do valor hash e tornando a força bruta praticamente inviável.
Com base nas estatísticas de download do WordPress.org, cerca de 2 milhões de sites foram atualizados desde o lançamento do patch, o que, no melhor cenário, ainda deixa 4 milhões de sites expostos à falha.
Dores de cabeça de segurança do LiteSpeed
Este ano foi bastante agitado para o LiteSpeed Cache e seus usuários, pois o popular plugin corrigiu várias falhas críticas, algumas das quais foram usadas em ataques reais para comprometer sites.
Em maio de 2024, hackers exploraram uma versão desatualizada de um plugin com uma falha de script entre sites não autenticada (CVE-2023-40000) para criar contas de administrador e assumir o controle de sites.
Mais tarde, em agosto, pesquisadores identificaram uma vulnerabilidade crítica de escalonamento de privilégios não autenticados (CVE-2024-28000), alertando sobre sua facilidade de exploração.
Poucas horas após sua divulgação, os invasores lançaram ataques em massa, com o Wordfence bloqueando quase 50.000 tentativas.
Mais recentemente, em setembro, o plugin corrigiu o CVE-2024-44000, um bug de aquisição de conta de administrador não autenticado, possível devido à exposição pública de logs contendo segredos.