Auf dieser Seite: [ausblenden]
Wordfence-Forscher berichteten kürzlich über die aktive Ausnutzung von Sicherheitslücken in zwei verwandten WordPress-Plugins - Elementor Pro und Ultimate Addons for Elementor. Wegen dieser Schwachstellen, mehr als 1 Millionen Standorte sind gefährdet. Es ist wichtig zu beachten, dass das kostenlose Elementor-Plugin, installiert auf mehr als 4 Millionen Websites, ist von diesem Fehler nicht betroffen. Das kostenlose Plugin ist als separater Download aus dem WordPress-Plugin-Repository verfügbar. Die Pro-Version kann von der Website Elementor.com heruntergeladen werden.
Zero-Day-Sicherheitsanfälligkeit im Elementor Pro-Plugin
Das Elementor Pro Plugin, ein Page Builder Plugin, hat eine kritische Zero-Day-Schwachstelle, die, nach Wordfence, ist ausnutzbar, wenn Benutzer eine offene Registrierung haben. Die Sicherheitsanfälligkeit wurde als „Authentifizierter Upload beliebiger Dateien" Problem.
Die gute Nachricht ist, dass Elementor bereits eine nächste Version des Plugins veröffentlicht hat, in der die Sicherheitsanfälligkeit behoben ist - die Elementor Pro-Version 2.9.4. Das Wordfence-Team hat bestätigt, dass die neue Version das Problem behebt, und Benutzern wird empfohlen, so schnell wie möglich zu aktualisieren.
Was sind die Exploit-Szenarien dieser Sicherheitsanfälligkeit?? Das Problem aktiviert registriert (bösartig) Benutzer können beliebige Dateien hochladen, die zu Angriffen auf die Remotecodeausführung führen können. Sobald die Remotecodeausführung durchgeführt wurde, der Angreifer kann:
- Installieren Sie eine Hintertür auf der gefährdeten Website oder Webseite, um den Zugriff aufrechtzuerhalten;
- Erhalten Sie volle Administratorrechte für WordPress;
- Löschen Sie die gefährdete Site.
Ultimative Addons für die Verwundbarkeit von Elementoren
Dieses Plugin wurde von Brainstorm Force entwickelt. Dieses Plugin enthält eine Sicherheitsanfälligkeit bezüglich der Umgehung der Registrierung, mit der das Problem mit Elementor Pro ausgenutzt werden kann, auch wenn auf der Website keine Benutzerregistrierung aktiviert ist.
Das Elementor Pro Plugin wurde auf mehr als installiert 1 Millionen Websites, während Ultimate Addons hat 110,000 Installationen. Dies macht die Anzahl der betroffenen Websites ziemlich hoch. Benutzer des Plugins Ultimate Addons for Elementor sollten die Version ausführen 1.24.2 oder höher, um Angriffe zu vermeiden.
Die beiden Schwachstellen werden gemeinsam ausgenutzt, Wordfence sagt:
In Fällen, in denen für eine Site die Benutzerregistrierung nicht aktiviert ist, Angreifer verwenden die Sicherheitsanfälligkeit Ultimate Addons for Elementor auf nicht gepatchten Websites, um sich als Abonnent zu registrieren. Anschließend verwenden sie die neu registrierten Konten, um die Zero-Day-Sicherheitsanfälligkeit von Elementor Pro auszunutzen und eine Remotecodeausführung zu erreichen.
Betroffene Benutzer sollten auf die neuesten Versionen der Plugins aktualisieren, um eine Ausnutzung zu vermeiden.
Lesen Sie auch Fast 1M WordPress-Sites werden aufgrund anfälliger Plugins angegriffen