LiteSpeed Cache: pericoloso bug per 5 milioni di siti

Sicurezza

Una grave vulnerabilità di LiteSpeed Cache può essere sfruttata per ottenere i privilegi di amministratore e prendere il controllo dei siti WordPress.

 Copilot Designer

Un ricercatore di sicurezza ha segnalato una grave vulnerabilità in LiteSpeed Cache, un popolare plugin di WordPress con oltre 5 milioni di installazioni. Può essere sfruttato per ottenere privilegi elevati di amministratore e quindi per eseguire qualsiasi attività sul sito. Lo sviluppatore ha rilasciato la patch il 13 agosto.

Installare subito l’ultima versione

LiteSpeed Cache è il più popolare plugin di caching per WordPress. Permette di velocizzare la visualizzazione delle pagine tramite una cache a livello server e numerose ottimizzazioni. È compatibile anche con altri noti plugin, come WooCommerce, bbPress e Yoast SEO.

La vulnerabilità indicata con CVE-2024-28000 è stata individuata dal ricercatore John Blackbourn e segnalata a Patchstack il 1 agosto. Per tale scoperta ha ricevuto un premio di 14.400 dollari. Il bug è presente nelle versioni fino a 6.3.0.1.

LiteSpeed Cache può effettuare la scansione del sito per il caching delle pagine, simulando un utente autenticato. La funzionalità utilizza una protezione tramite hash, ma viene usato un numero casuale compreso tra 0 e 999.999. Attraverso un attacco di forza bruta è possibile trovare il numero e accedere al sito come amministratore (che spesso ha user ID pari a 1).

Con questi privilegi elevati è possibile installare plugin infetti, cambiare le impostazioni, redirezionare i visitatori su siti esterni, distribuire malware e rubare i dati degli utenti. La patch è stata rilasciata il 13 agosto con la versione 6.4. È quindi necessario installare l’ultima versione di LiteSpeed Cache.

In base alle statistiche ufficiali, al momento solo il 30,4% dei siti è stato aggiornato, quindi quasi il 70% sono ancora vulnerabili. Forse i proprietari sono in ferie.

Fonte: Bleeping Computer

Inizio modulo

Fine modulo

https://www.punto-informatico.it/litespeed-cache-pericoloso-bug-5-milioni-siti