هکرها از یک آسیب‌پذیری با شدت حیاتی که افزونه LiteSpeed Cache را تحت تأثیر قرار می‌دهد، بهره‌برداری را آغاز کرده‌اند. این افزونه برای افزایش سرعت پاسخ‌دهی در وردپرس استفاده می‌شود. این حملات تنها یک روز پس از عمومی شدن جزئیات فنی این آسیب‌پذیری شروع شده‌اند.
مشکل امنیتی با کد شناسایی CVE-2024-28000 شناسایی می‌شود و به مهاجمان این امکان را می‌دهد که بدون احراز هویت (بدون نیاز به وارد کردن نام کاربری و رمز عبور)، سطح دسترسی خود را افزایش دهند. این آسیب‌پذیری در تمامی نسخه‌های افزونه وردپرس تا نسخه ۶٫۳٫۰٫۱ وجود دارد.
آسیب‌پذیری از یک بررسی هش ضعیف در ویژگی شبیه‌سازی کاربر این افزونه ناشی می‌شود. مهاجمان می‌توانند با استفاده از حمله‌ی brute-forcingمقدار هش را حدس زده و از این طریق حساب‌های مدیریتی مخرب ایجاد کنند.
این آسیب‌پذیری می‌تواند منجر به تسلط کامل بر وب‌سایت‌های آسیب‌دیده شود. این تسلط به مهاجمان اجازه می‌دهد که افزونه‌های مخرب نصب کنند، تنظیمات حیاتی را تغییر دهند، ترافیک وب‌سایت را به سایت‌های مخرب هدایت کنند و اطلاعات کاربران را سرقت کنند.
Rafie Muhammad از شرکت Patchstack، جزئیات مربوط به نحوه فعال‌سازی تولید هش را در یک پست که دیروز منتشر کرده، به اشتراک گذاشته است. او نشان داده است که چگونه می‌توان با استفاده از روش brute-force ، مقدار هش را حدس زده و سپس از طریق REST API یک حساب کاربری مدیر (Administrator) جدید ایجاد کرد.
Rafie Muhammad نشان داد که یک حمله brute force که در آن تمام ۱ میلیون مقدار ممکن برای هش امنیتی بررسی می‌شود، با سرعت سه درخواست در هر ثانیه، می‌تواند در مدت زمانی که ممکن است چند ساعت تا حداکثر یک هفته طول بکشد، به وب‌سایت دسترسی پیدا کند و به عنوان هر شناسه کاربری وارد شود.
LiteSpeed Cache توسط بیش از ۵ میلیون وب‌سایت استفاده می‌شود. تا لحظه‌ی نگارش این مطلب، تنها حدود ۳۰٪ از این وب‌سایت‌ها از نسخه‌ای امن از این افزونه استفاده می‌کنند. به این ترتیب، سطح حمله‌ای که باقی می‌ماند شامل میلیون‌ها وب‌سایت آسیب‌پذیر است.
شرکت امنیتی Wordfence، که در زمینه امنیت وردپرس فعالیت می‌کند، گزارش داده که طی ۲۴ ساعت گذشته بیش از ۴۸,۵۰۰ حمله را که هدفشان آسیب‌پذیری CVE-2024-28000 بوده، شناسایی و مسدود کرده است. این رقم نشان‌دهنده فعالیت شدید هکرها در سوءاستفاده از این آسیب‌پذیری است.
Chloe Charmberland از شرکت Wordfence دیروز درباره این وضعیت هشدار داد و گفت: ما هیچ شکی نداریم که این آسیب‌پذیری به زودی به طور فعال مورد سوءاستفاده قرار خواهد گرفت.
این دومین بار در سال جاری است که هکرها به LiteSpeed Cache حمله کرده‌اند. در ماه مه، مهاجمان از یک نقص cross-site scripting ( آسیب‌پذیری CVE-2023-40000 ) استفاده کردند تا حساب‌های مدیر مخرب ایجاد کنند و وب‌سایت‌های آسیب‌پذیر را تحت کنترل خود درآورند.
در آن زمان، WPScan گزارش داد که مهاجمان از ماه آوریل شروع به جستجوی اهداف کردند و بیش از ۱.۲ میلیون تلاش برای probes از یک آدرس IP مخرب واحد شناسایی شد.
برای جلوگیری از مشکلات امنیتی یا آسیب‌پذیری‌های احتمالی، کاربران باید نسخه به‌روز افزونه را نصب کنند یا در صورت امکان، افزونه را به طور کامل از وب‌سایت خود حذف کنند.
