Miljoenen WordPress-sites kwetsbaar door kritiek lek in LiteSpeed Cache
Miljoenen WordPress-sites lopen door een kritieke kwetsbaarheid in de plug-in LiteSpeed Cache het risico op aanvallen. Een update is beschikbaar, maar die is door de meeste websites nog niet geïnstalleerd. Onlangs werd een ander kritiek beveiligingslek in de plug-in actief gebruikt voor het aanvallen van WordPress-sites. Securitybedrijf Patchstack verwacht ook dat de nieuwste kritieke kwetsbaarheid op grote schaal zal worden misbruikt. De impact van het lek is op een schaal van 1 tot en met 10 beoordeeld met een 9.8.
LiteSpeed Cache is een plug-in die ervoor moet zorgen dat WordPress-sites sneller worden geladen. Meer dan zes miljoen websites maken er gebruik van. Een 'cookie leak' kwetsbaarheid (CVE-2024-44000) zorgt ervoor dat een ongeauthenticeerde aanvaller admin-accounts kan overnemen. Vervolgens is het mogelijk om malafide plug-ins te installeren. De kwetsbaarheid is alleen te misbruiken als de 'debug log feature' is ingeschakeld, of ooit ingeschakeld is geweest, en het /wp-content/debug.log niet is verwijderd. Wanneer een aanvaller dit bestand kan benaderen is het mogelijk om sessioncookies te stelen van gebruikers die zijn of waren ingelogd.
Gisteren verscheen versie 6.5.0.1 van LiteSpeed Cache waarin het probleem is opgelost. Op het moment van schrijven is deze versie volgens cijfers van WordPress.org door 1,2 miljoen websites geïnstalleerd, wat inhoudt dat een groot aantal WordPress-sites nog kwetsbaar is. Volgens WordPress.org maakt het grootste deel van de websites nog gebruik van versie 6.4.x.
Slordige of onbekwame programmeurs?
die dan steeds toch niet optimaal wordt onderhouden en van updates voorzien. .
Bij een WP-site kan dit gaan om kwetsbare plug-in versies of nog erger verlaten versies,
die nooit meer een update zullen krijgen.
Niet op disabled zetten van user enumeration and directory listing is ook zo'n doodzonde,
je maakt een overname door een hacker dan wel een heel gemakkelijke zaak soms.
In de waan blijven dat cloud-protectie je ontslaat van verder website onderhoud,
is een volgende veelgemaakte misvatting. Maar ja de CEO is zunig, he?
Begin maar eens met een scannetje hier: https://hackertarget.com/wordpress-security-scan/
Succes,
luntrus
PHP (Personal Home Page dus hobbyisten die denken met een kleutertaaltje dingen op internet te kunnen doen)
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
