Cette faille permet à toute personne non identifiée d’accéder aux informations sensibles
Les chercheurs en sécurité de Wordfence, une société spécialisée dans l’ingénierie logicielle et la sécurité, ont révélé que des vulnérabilités dans OptinMonster, un plugin de marketing par courriel pour WordPress, ont exposé un million de sites à une prise de contrôle à distance. Les vulnérabilités permettent à un cybercrinel d’accéder à des informations sensibles et d’ajouter du code JavaScript malveillant aux sites WordPress.
OptinMonster est un plugin conçu pour aider les propriétaires de sites WordPress à générer des campagnes de marketing par courriel. L’équipe Wordfence Threat Intelligence aurait informé les développeurs de ce plugin de la faille le 28 septembre et une version entièrement corrigée d’OptinMonster, la version 2.6.5, a été publiée le 7 octobre. Wordfence a publié le 27 octobre un avis de sécurité détaillant ses conclusions.
« Le 28 septembre 2021, l’équipe Wordfence Threat Intelligence a lancé le processus de divulgation responsable pour plusieurs vulnérabilités que nous avons découvertes dans OptinMonster, un plugin WordPress installé sur plus de 1 000 000 de sites. Ces failles permettaient à un cybercriminel non authentifié, c’est-à-dire n’importe quel visiteur du site, d’exporter des informations sensibles et d’ajouter des JavaScript malveillants aux sites WordPress. Les utilisateurs de Wordfence Premium ont reçu le 28 septembre 2021 une règle de pare-feu pour se protéger contre tout exploit ciblant ces vulnérabilités. Les sites utilisant encore la version gratuite de Wordfence recevront la même protection le 28 octobre 2021 », a déclaré Wordfence.
OptinMonster est un plugin incroyablement intuitif et facile à utiliser, conçu pour créer des campagnes de vente sur des sites WordPress grâce à l’utilisation de boîtes de dialogue. La grande majorité des fonctionnalités du plugin ainsi que le site de l’application OptinMonster reposent sur l’utilisation de points de terminaison API pour permettre une intégration transparente et un processus de conception simplifié. Malheureusement, la majorité des points de terminaison REST-API n’ont pas été implémentés de manière sécurisée, ce qui permet à des attaquants non authentifiés d’accéder à de nombreux points de terminaison sur des sites utilisant une version vulnérable du plugin.
Le plus critique des points de terminaison REST-API était le point de terminaison /wp-json/omapp/v1/support, qui divulguait des données sensibles telles que le chemin complet du site sur le serveur, ainsi que la clé API nécessaire pour effectuer des requêtes sur le site OptinMonster. En accédant à la clé API, un cybercriminel pouvait modifier toute campagne associée au compte OptinMonster connecté à un site et ajouter un JavaScript malveillant qui s’exécuterait chaque fois qu’une campagne serait affichée sur le site exploité.
Cela signifie aussi que n’importe quel attaquant non authentifié peut ajouter un JavaScript malveillant à un site exécutant OptinMonster, ce qui peut conduire à la redirection des visiteurs du site vers des domaines malveillants externes et à la prise de contrôle totale des sites dans le cas où un JavaScript est ajouté pour injecter de nouveaux comptes d’utilisateurs administratifs ou écraser le code du plugin avec un webshell pour obtenir un accès backdoor à un site.
Heureusement, l’équipe d’OptinMonster a invalidé toutes les clés API pour obliger les propriétaires de sites à générer de nouvelles clés dans le cas où une clé aurait été précédemment compromise, et a mis en place des restrictions qui empêchent les clés API associées aux sites WordPress d’effectuer des changements de campagne en utilisant l’application OptinMonster, ce qui empêche l’exploitation de cette chaîne de vulnérabilité.
Le CMS WordPress alimente environ 41 % du Web y compris le site de la Maison Blanche
WordPress est un système de gestion de contenu (SGC ou content management system (CMS) en anglais) gratuit, libre et open source. Ce logiciel écrit en PHP repose sur une base de données MySQL et est distribué par la fondation WordPress.org. Les fonctionnalités de WordPress lui permettent de créer et gérer différents types de sites Web : site vitrine, site de vente en ligne, site applicatif, blog, portfolio, site institutionnel, site d’enseignement, etc.
Le baromètre W3Techs a indiqué en fin d’année dernière que l’utilisation du CMS WordPress continue de croître : le CMS était à cette date utilisé sur 39,5 % des sites web et serait aujourd’hui utilisé par un peu plus de 41 % des sites du Web. Les nouveaux locataires de la Maison blanche ont choisi de rester sur le CMS WordPress pour lancer le site de la Maison Blanche. L’administration précédente est passée de Drupal à WordPress en 2017, et les développeurs web travaillant avec l’administration Biden ont décidé de s’en tenir au même CMS.
En 2016, WordPress a été le CMS le plus ciblé par les cyberattaques, selon une étude menée par la société de sécurité Sucuri. En 2018, le CMS a vu le nombre de vulnérabilités qui lui sont liés tripler. Pour WordPress, le risque est encore plus élevé puisque le CMS propulse près de 41 % des sites du Web, un pourcentage de taille qui fait qu’il existe un large nombre de victimes potentielles, un facteur important qui attire les hackers. Il est recommandé aux utilisateurs du plugin OptinMonster de vérifier que le site a été mis à jour avec la dernière version corrigée d’OptinMonster, qui est la 2.6.5.
source : developpez
