Tin ngành
WordPress phát hành bản cập nhật 7.1.1: Vá lỗ hổng thực thi mã từ xa nghiêm trọng Click2Shell
(giờ Việt Nam)
Tóm tắt AI
WordPress vừa tung bản cập nhật 7.1.1 để khắc phục 12 lỗ hổng bảo mật, trong đó quan trọng nhất là lỗ hổng thực thi mã từ xa (RCE) mang tên Click2Shell. Quản trị viên website được khuyến cáo cập nhật ngay lập tức để ngăn chặn nguy cơ bị tấn công thông qua các liên kết xem trước chủ đề độc hại.
Bản dịch AI
Theo tin từ IT ngày 19 tháng 9, đội ngũ phát triển WordPress đã phát hành bản cập nhật 7.1.1 vào ngày 17 tháng 9, bao gồm 17 bản sửa lỗi cốt lõi, 19 bản sửa lỗi trình chỉnh sửa khối (block editor) và 12 bản sửa lỗi bảo mật. Đáng chú ý, đội ngũ chính thức đã khắc phục một lỗ hổng thực thi mã từ xa (RCE) nghiêm trọng có tên là "Click2Shell". Các quản trị viên trang web WordPress được khuyến nghị nên cập nhật sớm nhất có thể để tránh nguy cơ bị tấn công.
Theo chi tiết kỹ thuật về lỗ hổng Click2Shell do đội ngũ bảo mật Pwn.ai Research công bố, lỗ hổng này liên quan đến cách tính năng xem trước chủ đề (theme preview) của WordPress xử lý các tham số URL. Các tham số trong cùng một liên kết xem trước chủ đề sẽ lần lượt được phân tích bởi API chủ đề của WordPress.org và mã JavaScript trong trình duyệt của quản trị viên. API chủ đề sẽ xử lý các tham số liên quan thành Slug chủ đề thông thường, trong khi phía trình duyệt lại giữ nguyên các ký tự gốc và chèn chúng vào bộ chọn jQuery. Trong những điều kiện nhất định, sự khác biệt trong cách xử lý này có thể tạo thành một chuỗi tấn công có thể khai thác được.
Cụ thể, tin tặc có thể tạo ra các liên kết xem trước chủ đề WordPress đặc biệt, dụ dỗ người dùng cài đặt chủ đề do tin tặc chỉ định, từ đó tải mã PHP độc hại lên thiết bị của nạn nhân.
Theo thông tin được tiết lộ hiện tại, chuỗi tấn công này đòi hỏi sự tương tác cụ thể của người dùng và các điều kiện về phiên trình duyệt. Phân tích của các nhà nghiên cứu cho thấy, nạn nhân tiềm năng cần phải đăng nhập vào trang quản trị WordPress và trước đó đã truy cập vào trang web độc hại do kẻ tấn công chuẩn bị trong cùng một phiên trình duyệt. Do đó, không phải bất kỳ người dùng chưa đăng nhập nào cũng có thể trực tiếp khai thác lỗ hổng này để tấn công các trang web WordPress.
Đội ngũ phát triển WordPress nhấn mạnh rằng, đối với các quản trị viên đang vận hành dòng WordPress 7.1, cần sớm nâng cấp lên phiên bản 7.1.1 để nhận được bản vá cho lỗ hổng này.
Bài viết được AI dịch và tổng hợp tự động từ IT Home ITHome. Liên kết bài gốc ở phía trên. AIHOT.vn luôn dẫn nguồn đầy đủ — nếu bạn thấy điểm cần chỉnh sửa, hãy gửi ý kiến tại trang phản hồi.