Vulnerabilidade no LiteSpeed: falha em plugin coloca sites em risco

De acordo com relatos recentes, uma vulnerabilidade do LiteSpeed que pode levar ao controle não autorizado de contas arbitrárias. Detalhes relativos à falha de segurança do WordPress foram divulgados graças aos esforços do pesquisador da Patchstack, Rafie Muhammad. Neste artigo, vamos nos aprofundar nesses detalhes e descobrir como os agentes mal-intencionados podem explorar a vulnerabilidade do LiteSpeed. Vamos começar! 

Descoberta inicial da vulnerabilidade do LiteSpeed 

A descoberta dessa vulnerabilidade ocorreu como resultado de uma análise de segurança abrangente do plugin. Antes de entrarmos em detalhes, vale mencionar que essa análise também levou à descoberta de uma vulnerabilidade distinta no início deste ano. A vulnerabilidade anterior foi registrada como CVE-2024-28000. 

Ela apresentava uma pontuação de gravidade de vulnerabilidade crítica (CVSS) de 9,8 e poderia ser explorada por agentes mal-intencionados para escalonamento de privilégios. A vulnerabilidade identificada recentemente está sendo registrada como CVE-2024-44000 e possui um CVSS de 7,5. Embora essa falha seja menos grave do que a anterior, ela ainda pode, se explorada, causar danos aos usuários comprometidos. 

A falha de cache do LiteSpeed sem autenticação afeta as versões anteriores à 6.4.1 e a própria versão 6.4.1. Apresentando informações relacionadas a essa vulnerabilidade do LiteSpeed, o pesquisador Rafie Muhammad afirmou que:

“O plugin apresenta uma vulnerabilidade que permite a apropriação de contas sem autenticação, o que possibilita que qualquer visitante não autenticado obtenha acesso às credenciais de qualquer usuário conectado e, na pior das hipóteses, possa obter acesso a uma função de nível de administrador; a partir daí, plugins maliciosos poderiam ser enviados e instalados.”

CVE-2024-44000 e medidas de proteção 

A nova vulnerabilidade do LiteSpeed ocorre devido a um arquivo de log chamado “/wp-content/debug.log”. Esse arquivo está exposto publicamente, dando aos hackers a possibilidade de obter acesso sem autenticação. O acesso obtido pode ser usado para visualizar informações confidenciais contidas no arquivo. Além disso, eles também podem ver informações de cookies evidentes nos cabeçalhos de resposta HTTP. 

É o acesso a essas informações que permite que os agentes mal-intencionados lancem um ataque com base na nova vulnerabilidade. Ao explorar essa falha, um agente mal-intencionado pode fazer login em um site vulnerável usando qualquer sessão ativa e válida. Sua baixa pontuação de gravidade está associada ao fato de que é necessário que um pré-requisito seja cumprido para que ela seja considerada passível de exploração.

Para explorar a vulnerabilidade com fins maliciosos, o recurso de depuração do WordPress deve estar ativado. A vulnerabilidade, se explorada, também poderia afetar usuários que ativaram o recurso em algum momento, mas não removeram o arquivo de depuração. Vale ressaltar aqui que esse recurso vem desativado por padrão. 

No que diz respeito às medidas de proteção contra essa vulnerabilidade, ela foi corrigida na versão 6.5.0.1. Para garantir a proteção, o patch move o arquivo de log para uma pasta dedicada chamada “/wp-content/litespeed/debug/”. Além disso, ele também randomiza os nomes dos arquivos e remove os cookies de log de opções do arquivo. 

Conclusão 

A vulnerabilidade do LiteSpeed destaca a importância de proteger as instalações do WordPress, especialmente quando os recursos de depuração estão ativados. Os proprietários de sites devem atualizar imediatamente para a versão mais recente do plugin e implementar as medidas de segurança recomendadas para mitigar os riscos, garantindo que seus sites permaneçam protegidos contra acesso não autorizado e possíveis explorações maliciosas.

As fontes utilizadas neste artigo incluem matérias publicadas no The Hacker News e TechRadar.