WordPress Live聊天插件的漏洞允许窃取和劫持会话

By admin

2019-06-12 16:45:14

浏览量179

已赞0

前言“Alert Logic的安全研究人员发现了WordPress Live聊天插件中的一个漏洞,这个漏洞可能被用来窃取和劫持会话。”

Alert Logic的专家在流行的WordPress Live聊天插件中发现了一个漏洞,这个漏洞可能被未经授权的远程攻击者利用来窃取聊天日志或操纵聊天会话。

这个关键的漏洞,被跟踪为CVE-2019-12498,是一个关键的认证绕过问题(CWE-287 / OWASP Top 10: A2: 2017-Broken authentication),影响8.0.32版本和更早版本的插件。

该漏洞是由于不正确的验证检查导致的身份验证,攻击者可以触发它访问受限制的REST API端点。

我们在8.0.32或更早的版本中发现了一个关键的身份验证旁路(CWE-287 / OWASP Top 10: A2: 2017-Broken authentication)。专家们发布的安全建议中写道。“这种旁路允许攻击者在没有有效凭证的情况下访问REST API功能——允许过滤聊天日志并能够操纵聊天会话。”

WP Live Chat支持通过WordPress网站提供客户支持和与访问者聊天,目前有超过50,000家企业使用这个插件。

“受影响版本WP Live Chat受限制的REST API端点很容易被未经身份验证的远程攻击者滥用,这是由于' wplc_api_permission_check() '函数存在缺陷。”顾问继续说。

WordPress Live Chat plugin

由于“wplc_api_permission_check()”函数中的漏洞,未修补的WP Live Chat Support安装的REST API端点可能会受到未经身份验证的远程攻击者的攻击。

Alert Logic研究团队继续说道:“上面的一系列‘register_rest_route()’调用定义了那些REST API端点,由于它们公开的功能的性质,这些端点应该具有访问限制。”

“每个受限制的端点共享相同的' permission_callback '函数,即' wplc_api_permission_check() '函数,稍后将对此进行研究。”

远程攻击者可以利用公开的端点进行多种恶意攻击,包括:

  • 窃取所有会话的整个聊天记录,
  • 修改或删除聊天记录,
  • 将消息注入到活跃的聊天会话中,假装成客户支持代理,
  • 强制终止活跃的聊天会话,作为拒绝服务(DoS)攻击的一部分。

漏洞时间线以下:

2019年5月28日与供应商进行首次联系

向供应商披露的漏洞于2019年5月29日

供应商接受弱点。2019年5月30日开始工作

NVD提交。CVE指定2019年5月31日

新版本发布。确认2019年5月31日不再脆弱

负责任的信息披露禁令于2019年6月10日解除

幸运的是,专家们并没有利用这些漏洞在野外进行攻击。

发表评论
拖动滑块验证
»
请先 注册/登录 后参与评论

已有0 发布

默认   热门   正序   倒序
    查看更多评论
    已有0次打赏