Giải tuần tự không an toàn cho phép thực thi mã từ xa chưa xác thực trong WebPros WHMCS

Lỗ hổng giải tuần tự dữ liệu không tin cậy trong WHMCS 9.0.0 trước 9.0.8 và 8.0.0 trước 8.13.7 cho phép kẻ tấn công từ xa thực thi mã tùy ý.

• WebPros WHMCS 9.x: các bản từ 9.0.0 đến trước 9.0.8 được đánh dấu affected. Nhà cung cấp xác định 9.0.8 là bản có bản sửa lỗi cho nhánh này.
• WebPros WHMCS 8.x: các bản từ 8.0.0 đến trước 8.13.7 được đánh dấu affected. Nhà cung cấp xác định 8.13.7 là bản có bản sửa lỗi cho nhánh này.
• Dữ liệu affected sử dụng trạng thái mặc định là unaffected ngoài các phạm vi được liệt kê. Trạng thái của các nhánh hoặc dòng sản phẩm khác không được xác lập trong bằng chứng hiện có.

WebPros WHMCS tiếp nhận payload giả mạo do kẻ tấn công kiểm soát và giải tuần tự dữ liệu đó mà không có các hạn chế đầy đủ. Đây là lỗi CWE-502, xảy ra khi dữ liệu không tin cậy được xử lý như dữ liệu tuần tự hợp lệ trước khi được xác minh an toàn. Theo advisory của nhà cung cấp, trong các điều kiện cụ thể, người dùng chưa xác thực có thể gửi payload để đạt được thực thi mã từ xa trên máy chủ WHMCS. Bản ghi mô tả khả năng khai thác qua mạng, không yêu cầu đặc quyền hoặc tương tác người dùng và có độ phức tạp thấp. Endpoint chính xác, định dạng serialization, gadget chain và đường dẫn mã bị ảnh hưởng chưa được công bố.

Lỗi có thể bị khai thác từ xa qua mạng. Nhà cung cấp xác nhận người dùng chưa xác thực có thể lợi dụng lỗi, còn bản ghi chuẩn hóa mô tả rằng cuộc tấn công không yêu cầu đặc quyền hoặc tương tác người dùng và có độ phức tạp thấp. Bản ghi được cung cấp không ghi nhận public exploit và không xác lập trạng thái khai thác đã biết. Đây không phải bằng chứng cho thấy lỗi chưa từng bị khai thác. Không có chiến dịch, nạn nhân, IOC hoặc chi tiết lạm dụng thực tế nào được cung cấp.

Kết quả kỹ thuật của việc khai thác là thực thi mã tùy ý trên máy chủ WHMCS. Bản ghi mô tả tác động tiềm tàng đến tính bí mật, tính toàn vẹn và tính sẵn sàng của máy chủ và dữ liệu mà nó xử lý. Hệ điều hành hoặc tài khoản chạy tiến trình WHMCS, cũng như mức đặc quyền sau khi thực thi mã, không được công bố; không nên mặc định rằng kẻ tấn công có quyền root hoặc quyền quản trị hệ thống. Về mặt tổ chức, hậu quả có thể gồm truy cập trái phép, thay đổi dữ liệu và gián đoạn dịch vụ WHMCS. Bằng chứng hiện có không xác định khả năng di chuyển ngang hoặc tác động đến hệ thống khác.

• Khai thác thành công có thể dẫn đến toàn quyền kiểm soát cài đặt WHMCS và dữ liệu của cài đặt, theo mô tả của nhà cung cấp.
• Thực thi mã tùy ý có thể cho phép kẻ tấn công thay đổi dữ liệu hoặc hành vi ứng dụng và gây gián đoạn dịch vụ. Đây là hệ quả có thể xảy ra, không phải bằng chứng về một sự cố cụ thể.
• Vì không yêu cầu tài khoản, các hệ thống WHMCS có khả năng truy cập từ Internet cần được ưu tiên kiểm tra.
• Bằng chứng hiện có không xác định bất kỳ vụ xâm nhập, chiến dịch, nạn nhân hoặc tổ chức cụ thể nào.

1. Xác định nhánh WHMCS đang chạy trên từng hệ thống bị ảnh hưởng.
2. Với nhánh 9.x, cập nhật lên 9.0.8. Với nhánh 8.x, cập nhật lên 8.13.7. Đây là các bản sửa lỗi được nhà cung cấp xác định cho từng nhánh.
3. Hoàn tất triển khai trên mọi máy chủ, node hoặc bản sao dự phòng có cài WHMCS, sau đó xác minh phiên bản thực tế đang chạy.
4. Nhà cung cấp khuyến nghị cập nhật lên bản WHMCS mới nhất sau khi bản sửa lỗi tương ứng đã có sẵn. Không nên coi việc chỉ giới hạn một phần truy cập mạng là bản sửa lỗi đã được xác nhận.
5. Bằng chứng được cung cấp không mô tả workaround hoặc biện pháp giảm nhẹ thay thế do nhà cung cấp phê duyệt. Nếu chưa thể cập nhật, cần đánh giá và giảm khả năng truy cập đến hệ thống trong khi lập kế hoạch vá lỗi, nhưng không được xem đó là biện pháp khắc phục hoàn chỉnh.

1. Kiểm kê tất cả máy chủ đang chạy WHMCS và ghi nhận phiên bản thực tế từ file hoặc giao diện quản trị đáng tin cậy.
2. Đối chiếu từng phiên bản với các nhánh bị ảnh hưởng và bản sửa lỗi tương ứng trong phần affected_summary.
3. Kiểm tra web server và application log để tìm các request bất thường, đặc biệt là các request chưa xác thực có dấu hiệu gửi forged payload. Đây chỉ là biện pháp giám sát phòng ngừa vì advisory không công bố endpoint hoặc log signature cụ thể.
4. Sau khi cập nhật, xác minh lại phiên bản đang chạy và trạng thái triển khai trên mọi node, container hoặc máy chủ dự phòng.
5. Nếu phát hiện hoạt động đáng ngờ, coi máy chủ WHMCS và dữ liệu trên đó là có khả năng đã bị truy cập trái phép và thực hiện quy trình ứng phó sự cố phù hợp. Việc không thấy log đáng ngờ không chứng minh hệ thống an toàn.