Tiga juta Website berbasis WordPress yang menggunakan Plugin SEO “All in One”, alami kerentanan keamanan yang kritis terhadap serangan pengambilalihan.
Cacat keamanan ini ditemukan dan dilaporkan oleh peneliti keamanan Automattic Marc Montpas adalah bug Authenticated Privilege Escalation yang kritis (CVE-2021-25036) dan Authenticated SQL Injection (CVE-2021-25037) dengan tingkat keparahan tinggi.
Pengembang plugin telah merilis pembaruan keamanan untuk mengatasi kedua bug dari Plugin SEO “All in One” pada 7 Desember 2021.
Meski telah dirilis pembaharuan plugin tersebut, namun lebih dari 820.000 situs yang menggunakan plugin ini belum memperbarui, menurut statistik unduhan selama dua minggu terakhir sejak patch dirilis.
Kelemahan ini sangat berbahaya dengan mengeksploitasi dua kerentanan proses autentifikasi, pelaku hanya memerlukan izin tingkat rendah seperti Subscriber (Pelanggan) untuk menyalahgunakannya dalam serangan.
Meskipun pelanggan hanya dapat mengedit profil mereka sendiri selain memposting komentar. Dalam kasus ini, mereka dapat mengeksploitasi CVE-2021-25036 untuk meningkatkan hak istimewa mereka dan mendapatkan eksekusi remote di situs yang rentan, dan kemungkinan mengambil alih sepenuhnya.
Seperti yang diungkapkan Montpas, meningkatkan hak istimewa dengan menyalahgunakan CVE-2021-25036 adalah tugas yang mudah di situs yang menjalankan versi SEO All in One yang belum ditambal dengan “mengubah satu karakter menjadi huruf besar” untuk melewati semua pemeriksaan hak istimewa yang diterapkan.
“Ini sangat mengkhawatirkan karena beberapa titik akhir plugin cukup sensitif. Misalnya, titik akhir aioseo/v1/htaccess dapat menulis ulang .htaccess situs dengan konten arbitrer,” jelas Montpas.
“Seorang penyerang dapat menyalahgunakan fitur ini untuk menyembunyikan .htaccess backdoors dan mengeksekusi kode berbahaya di server.”
Admin WordPress yang masih menggunakan versi SEO All In One yang alami kerentanan (antara versi 4.0.0 dan 4.1.5.2) dan belum menginstal patch 4.1.5.3 disarankan untuk segera melakukannya.
Dikutip : Bleeping Computer