یک افزونه ضد هرزنامه وردپرس با بیش از ۶۰۰۰۰ نصب، آسیب‌پذیری تزریق شی PHP را که از پاکسازی نامناسب ورودی‌ها ناشی می‌شد وصله کرد و متعاقباً اجازه ورود کاربر با کدگذاری base64 را داد.
تزریق شیء PHP تایید نشده
یک آسیب‌پذیری در امنیت محبوب Stop Spammers کشف شد پلاگین وردپرس کاربران هرزنامه، نظرات، فرم ها را مسدود کنید.
هدف این افزونه جلوگیری از هرزنامه در نظرات، فرم ها و ثبت نام است. می‌تواند ربات‌های هرزنامه را متوقف کند و این قابلیت را دارد که کاربران آدرس‌های IP را برای مسدود کردن وارد کنند.
این یک تمرین ضروری برای هر افزونه یا فرم وردپرس است که ورودی کاربر را می‌پذیرد که فقط ورودی‌های خاصی مانند متن، تصاویر، آدرس‌های ایمیل، هر ورودی مورد انتظار را می‌پذیرد.
ورودی های غیرمنتظره باید فیلتر شوند. آن فرآیند فیلتری که ورودی‌های ناخواسته را نگه می‌دارد عفونی‌سازی نامیده می‌شود.
به عنوان مثال، یک فرم تماس باید عملکردی داشته باشد که موارد ارسال شده را بررسی کند و هر چیزی را که متنی نیست مسدود کند (عفونی کند).
آسیب‌پذیری کشف‌شده در افزونه ضد هرزنامه امکان ورودی رمزگذاری‌شده (با کدگذاری base64) را می‌دهد که سپس می‌تواند نوعی آسیب‌پذیری به نام آسیب‌پذیری تزریق PHP Object را ایجاد کند.
توضیحات آسیب‌پذیری منتشر شده در وب‌سایت WPScan این مشکل را اینگونه توصیف می‌کند:
“وقتی از CAPTCHA به عنوان چالش دوم استفاده می شود، این افزونه ورودی کاربر کدگذاری شده base64 را به تابع PHP unserialize() می دهد، که اگر افزونه نصب شده در وبلاگ دارای زنجیره ابزار مناسب باشد، می تواند منجر به تزریق شی PHP شود…”
طبقه‌بندی این آسیب‌پذیری Deserialization ناامن است.
پروژه غیرانتفاعی Open Web Application Security Project (OWASP) تأثیر بالقوه این نوع آسیب‌پذیری‌ها را جدی توصیف می‌کند، که ممکن است مختص این آسیب‌پذیری باشد یا نباشد.
توضیح در OWASP:
«تأثیر معایب سریال‌زدایی را نمی‌توان اغراق‌آمیز کرد. این نقص ها می تواند منجر به حملات اجرای کد از راه دور شود که یکی از جدی ترین حملات ممکن است.
تأثیر تجاری به نیازهای حفاظتی برنامه و داده ها بستگی دارد.”
اما OWASP همچنین خاطرنشان می‌کند که بهره‌برداری از این نوع آسیب‌پذیری دشوار است:
“بهره برداری از deserialization تا حدودی دشوار است، زیرا اکسپلویت های خارج از قفسه به ندرت بدون تغییر یا دستکاری در کد اکسپلویت اساسی کار می کنند.”
آسیب‌پذیری افزونه Stop Spammers Security وردپرس در نسخه ۲۰۲۲.۶ رفع شد
تغییر گزارش امنیتی Stop Spammers رسمی (توضیحاتی با تاریخ به‌روزرسانی‌های مختلف) این اصلاح را به‌عنوان یک پیشرفت امنیتی ذکر می‌کند.
کاربران پلاگین Stop Spam Security باید به‌روزرسانی به آخرین نسخه را در نظر بگیرند تا از سوء استفاده هکر از افزونه جلوگیری کنند.
اعلان رسمی پایگاه داده آسیب‌پذیری ملی دولت ایالات متحده را بخوانید:
جزئیات CVE-2022-4120
انتشار WPScan از جزئیات مربوط به این آسیب پذیری را بخوانید:
ایمنی هرزنامه‌ها را متوقف کنید
تصویر ویژه توسط Shutterstock/Luis Molinero
