A recente descoberta de uma vulnerabilidade de alta gravidade no plugin LiteSpeed Cache para WordPress levanta sérias preocupações de segurança. Esse problema pode permitir que um agente mal-intencionado, não autenticado, eleve seus privilégios e realize ações prejudiciais.
Vulnerabilidade do Plugin LiteSpeed Cache representa risco considerável para websites WordPress
A vulnerabilidade, identificada como CVE-2024-50550 (pontuação CVSS: 8.1), foi corrigida na versão 6.5.2 do plugin. De acordo com o pesquisador de segurança Rafie Muhammad, da Patchstack, “o plugin apresenta uma vulnerabilidade de escalonamento de privilégios não autenticado que permite que qualquer visitante não autenticado obtenha acesso a nível de administrador, possibilitando a instalação de plugins maliciosos”.
O LiteSpeed Cache é um plugin amplamente utilizado para aceleração de sites no WordPress, com funcionalidades avançadas de cache e otimização, sendo instalado em mais de seis milhões de sites.
Detalhes da Vulnerabilidade
Conforme relatado pela Patchstack, a falha está associada a uma função chamada is_role_simulation, sendo semelhante a uma vulnerabilidade anterior divulgada em agosto de 2024 (CVE-2024-28000, pontuação CVSS: 9.8). O problema surge da utilização de uma verificação de hash de segurança fraca, que pode ser forçada por um invasor. Isso permite o abuso do recurso de crawler para simular um usuário logado, incluindo um administrador.
A exploração bem-sucedida dessa vulnerabilidade depende de configurações específicas do plugin, que incluem:
Notícias Relacionadas
- Crawler -> Configurações Gerais -> Crawler: ATIVADO
- Crawler -> Configurações Gerais -> Duração da Execução: 2500 – 4000
- Crawler -> Configurações Gerais -> Intervalo Entre Execuções: 2500 – 4000
- Crawler -> Configurações Gerais -> Limite de Carga do Servidor: 0
- Crawler -> Configurações de Simulação -> Simulação de Função: 1 (ID do usuário com função de administrador)
- Crawler -> Resumo -> Ativar: Desligar todas as linhas, exceto Administrador
A correção implementada pelo LiteSpeed remove o processo de simulação de função e atualiza o método de geração de hash utilizando um gerador de valores aleatórios. Muhammad enfatiza que “essa vulnerabilidade destaca a importância crítica de garantir a força e a imprevisibilidade dos valores usados como hashes de segurança ou nonces”.
Implicações e Recomendações
CVE-2024-50550 é a terceira vulnerabilidade de segurança divulgada no LiteSpeed nos últimos dois meses, sendo as outras CVE-2024-44000 (pontuação CVSS: 7.5) e CVE-2024-47374 (pontuação CVSS: 7.2). Este desenvolvimento ocorre semanas após a Patchstack ter detalhado duas falhas críticas no Ultimate Membership Pro, que poderiam resultar em escalonamento de privilégios e execução de código, já corrigidas na versão 12.8 e posteriores.
Além disso, a Patchstack alerta que a atual disputa legal entre a Automattic, empresa mãe do WordPress, e a WP Engine fez com que alguns desenvolvedores abandonassem o repositório WordPress.org. Isso requer que os usuários fiquem atentos às comunicações relevantes para garantir que estejam recebendo as últimas informações sobre possíveis encerramentos de plugins e questões de segurança.
“Usuários que não instalarem manualmente plugins removidos do repositório WordPress.org correm o risco de não receber novas atualizações, que podem incluir correções de segurança importantes”, afirmou Oliver Sild, CEO da Patchstack. “Isso pode deixar websites expostos a hackers que exploram vulnerabilidades conhecidas e podem se aproveitar dessas situações.”
