30 Ekim 2024’te Anti-Spam by CleanTalk WordPress eklentisinde, potansiyel olarak 200.000’den fazla aktif kurulumu etkileyen kritik bir güvenlik açığı keşfedildi.
Bu kusur, kimliği doğrulanmamış saldırganların rastgele eklentiler yüklemesine ve etkinleştirmesine olanak tanır ve bu da savunmasız sitelerde uzaktan kod yürütülmesine yol açabilir.
WordPress eklentisinde keşfedilen güvenlik açıkları “CVE-2024-10542” ve “CVE-2024-10781” olarak takip ediliyor.
Wordfence araştırmacıları bu iki güvenlik açığının her iki güvenlik açığı için de 9,8 puanla “Kritik” etiketiyle işaretlendiğini belirledi.
Aşağıda, eklentide tanımlanan yukarıda belirtilen iki güvenlik açığının tam kusur profilinden bahsettik: –
Ters DNS Sahtekarlığı yoluyla Yetkilendirmeyi Atlama
- Etkilenen sürümler: <= 6.43.2
- CVE Kimliği: CVE-2024-10542
- CVSS Puanı: 9,8 (Kritik)
- 6.44 sürümünde yamalı
Eksik Boş Değer Kontrolü Nedeniyle Yetkilendirme Atlaması
- Etkilenen sürümler: <= 6.44
- CVE Kimliği: CVE-2024-10781
- CVSS Puanı: 9,8 (Kritik)
- 6.45 sürümünde yamalı
KOBİ ve MSP Siber Güvenlik Liderleri için 2024 MITRE ATT&CK Sonuçlarından Yararlanma – Ücretsiz Web Seminerine Katılın
Teknik Analiz
Ters DNS Sahtekarlığı yoluyla Yetkilendirmeyi Atlama
Güvenlik açığı şunlardan kaynaklanıyor: checkWithoutToken() IP adresi çözümlemesi ve alan adı kontrolüne dayanan işlev. Bir saldırgan bundan şu şekilde yararlanabilir: –
- X-Client-Ip ve X-Forwarded-By başlıklarını kullanarak IP adresini yanıltma
- “cleantalk.org” (cleantalk.org.evilsite.com) içeren bir alan adı kullanma
Bu atlama, eklenti yükleme, etkinleştirme, devre dışı bırakma veya kaldırma gibi yetkisiz işlemlere izin verir.
Eksik Boş Değer Kontrolü Nedeniyle Yetkilendirme Atlaması
Bu güvenlik açığı, boş API anahtar değerlerinin kontrol edilmemesinden kaynaklanmaktadır. API anahtarı yapılandırılmamışsa saldırganlar, boş karma değeriyle eşleşen bir jeton kullanarak kendilerini yetkilendirebilir.
Aşağıda tam zaman çizelgesinden bahsettik: –
- 30 Ekim 2024: İlk güvenlik açığı bildirildi ve onaylandı
- 1 Kasım 2024: Kısmi yama (sürüm 6.44) yayınlandı
- 4 Kasım 2024: İkinci güvenlik açığı keşfedildi
- 14 Kasım 2024: Tam yama (sürüm 6.45) yayınlandı
Bir öneri olarak araştırmacılar aşağıdaki noktaları önerdiler: –
- CleanTalk ile Anti-Spam’i hemen 6.45 sürümüne güncelleyin
- Eklentinin API anahtarının doğru yapılandırıldığından emin olun
- Web Uygulaması Güvenlik Duvarı kullanmak gibi ek güvenlik önlemleri uygulayın
Bu güvenlik olayı, WordPress ekosisteminde hızlı güvenlik güncellemelerinin ve sorumlu açıklamaların önemini vurgulamaktadır.
Analyze cyber threats with ANYRUN's powerful sandbox. Black Friday Deals : Get up to 3 Free Licenses.