요약
*Total Donations : 온라인 기부 플러그인. 캠페인과 업무관리 기능 및 기부 진행 사항을 바 그래프로 나타낼 수 있는 옵션 제공.
- 취약점 : 비인가 사용자가 /wp-admin/admin-ajax.php에 요청을 보내 miglaA_update_me 작업을 호출하여 임의의 WordPress 옵션을 변경 가능.
관리자 권한으로 새로운 사용자를 등록하고, 등록한 새 계정에 관리자 권한 부여 가능
(플러그인 설치 시 88개의 ajax작업이 등록되는데, 이 모든 ajax작업에 대해 접근 가능)
- 위 취약점 외에도 ‘비공개/게시되지 않은 포스트에 대한 비인가 접근 허락, SQL 인젝션, 임의의 주소로 test 이메일 발송 허용
(DoS 공격에 사용 가능)’ 취약점을 가지고 있음
º Total Donations 플러그인에 대한 모든 취약점을 종합적으로 다루기 위해 CVE코드 부여(CVE-2019-6703)
- 영향성 : 현재 해당 취약점을 이용한 공격이 이루어지고 있음.
- 대응 방안 : 해당 플러그인을 사용하는 웹사이트는 즉시 삭제 필요.
(해당 취약점에 대한 대응을 위해 플러그인 개발사와 연락을 취하였으나, 회신을 받지 못하였고, 개발사 측에서 패치 발표 등의
보안 대응도 하지 않고 있음.)
관련 CVE정보
- CVE-2019-6703
영향성
해당 플러그인을 사용할 시 삭제 요망
참고자료
Wordfence Threat Intelligence 보고서 : https://www.wordfence.com/blog/2019/01/wordpress-sites-compromised-via-zero-day-vulnerabilities-in-total-donations-plugin/
출처 : https://www.securityweek.com/zero-days-wordpress-plugin-actively-exploited
https://nvd.nist.gov/vuln/detail/CVE-2019-6703
'Vulnerability' 카테고리의 다른 글
| [2019.02.07] Mac OS 제로데이 취약점 - KeySteal (0) | 2019.03.20 |
|---|---|
| [2019.01.30] Apple, FaceTime 로직 에러 (0) | 2019.03.20 |
| [2019.01.28] Cisco RV 320, RV 325 WAN VPN 라우터 목표 공격 발생(CVE-2019-1652,3) (0) | 2019.03.19 |
| [2019.01.24] Cisco SD-WAN 솔루션 버퍼 오버플로우 취약점(CVE-2019-1651) (0) | 2019.03.19 |
| [2019.01.23] 리눅스 apt 패키지 원격 코드 실행 취약점(CVE-2019-3462) (0) | 2019.03.19 |