Più di un milione di siti web costruiti con WordPress potrebbero essere vulnerabili a causa di alcune criticità nella maggior parte delle versioni di un plugin chiamato WP-SlimStat, uno strumento di analisi scaricato più di 1,3 milioni di volte.
In base a quanto riportato da Sucuri, le versioni precedenti alla recente pubblicazione di SlimStat 3.9.6 contengono una chiave facilmente intuibile che viene utilizzata per firmare i dati inviati e ricevuti dai computer degli utenti finali. Il risultato è la possibilità di un attacco in grado di “iniettare” codice SQL (SQL Injection) che può essere utilizzato per estrarre dati altamente sensibili, tra cui password criptate e le chiavi di crittografia utilizzate per amministrare in remoto i siti web.
“Se il tuo sito web utilizza una versione vulnerabile del plugin, sei a rischio – dice Marc-Alexandre Montpas, un ricercatore senior presso Sucuri – lo sfruttamento di questo bug potrebbe portare ad attacchi di SQL Injection, il che significa che un utente malintenzionato potrebbe prendere informazioni sensibili dal database, tra cui il nome utente, hashed password e, in alcune configurazioni, le chiavi segrete WordPress, che potrebbe tradursi in un totale controllo del sito”.
La chiave segreta usata dal plugin WP-SlimStat non è altro che l’hash MD5 del timestamp di installazione del plugin. Un utente malintenzionato potrebbe utilizzare l’Internet Archive o siti simili per determinare l’anno in cui un sito è stato messo on-line. Basterebbe questo dato per ridurre la mole di lavoro di un hacker a 30 milioni di valori da testare, un’impresa che potrebbe essere completata automaticamente in circa 10 minuti. Una volta che la chiave segreta è stata indovinata, l’aggressore la può utilizzare per estrarre i dati dal database. Il consiglio è dunque aggiornare il prima possibile il plugin.
