Lỗ hổng vượt qua xác thực không cần đăng nhập trong miniOrange WordPress OAuth Single Sign On, SSO (OAuth Client)

Lỗ hổng Bypass không yêu cầu xác thực trong OAuth Single Sign On – SSO (OAuth Client), các phiên bản <= 7.1.2.

Plugin WordPress miniorange-login-with-eve-online-google-facebook của miniOrange có phạm vi ảnh hưởng như sau:

• OAuth Single Sign On, SSO (OAuth Client): các phiên bản <= 7.1.2 được xác định là affected.
• Phiên bản 7.1.3 được ghi nhận là unaffected và là mốc đã sửa trong dữ liệu affected.
• Trạng thái của các nhánh hoặc phiên bản song song không được bản ghi xác nhận riêng; không nên suy ra phạm vi ngoài các ranh giới nêu trên.

miniOrange OAuth Single Sign On, SSO (OAuth Client) là plugin WordPress có lỗ hổng vượt qua xác thực bằng giả mạo thuộc CWE-290. Theo dữ liệu đánh giá, kẻ tấn công từ xa có thể gửi yêu cầu qua mạng mà không cần đăng nhập hoặc tương tác với người dùng để vượt qua các kiểm tra bảo mật của plugin. Bản ghi công khai không nêu endpoint, tham số OAuth, callback hoặc đoạn kiểm tra cụ thể bị lỗi, vì vậy cơ chế triển khai chính xác và luồng OAuth bị ảnh hưởng vẫn chưa được xác định. Nếu vượt qua thành công, tác động thực tế phụ thuộc vào các quyền và dịch vụ mà plugin được kết nối trong từng website WordPress.

Lỗ hổng có thể bị tiếp cận qua mạng và không yêu cầu tài khoản, đặc quyền ban đầu hoặc tương tác của người dùng; độ phức tạp tấn công được đánh giá là thấp. Bản ghi được cung cấp không xác định exploit công khai hoặc chiến dịch khai thác cụ thể. Dữ liệu làm giàu của CISA trong GCVE ghi nhận trạng thái khai thác là none tại thời điểm làm giàu, nhưng điều này không chứng minh rằng chưa từng có hoặc sẽ không có khai thác trong tương lai. Không có tên chiến dịch, nạn nhân hoặc IOC cụ thể nào được công bố trong bằng chứng hiện có.

Nếu khai thác thành công, một tác nhân không cần xác thực có thể vượt qua cơ chế kiểm tra đăng nhập của plugin. Hậu quả có thể bao gồm lộ dữ liệu được bảo vệ, thay đổi dữ liệu hoặc nội dung, và gián đoạn hoạt động của website, tùy thuộc vào quyền mà plugin cấp trong từng triển khai. Phạm vi bảo mật được đánh giá là không thay đổi, nhưng tác động cuối cùng đối với website và các hệ thống tích hợp vẫn phụ thuộc vào cấu hình cụ thể. Bản ghi không xác nhận dữ liệu nào đã bị truy cập hoặc thay đổi trên thực tế.

Việc vượt qua xác thực có thể cho phép truy cập trái phép vào tài nguyên WordPress hoặc dữ liệu được bảo vệ qua plugin. Tùy theo quyền mà luồng đăng nhập liên kết cấp, kẻ tấn công có thể có khả năng đọc dữ liệu, thay đổi nội dung hoặc cấu hình, hoặc làm gián đoạn dịch vụ. Do chưa có mô tả chi tiết về endpoint và chuỗi khai thác, doanh nghiệp không nên giả định rằng mọi website đều chịu cùng một mức tác động. Bản ghi hiện có không xác nhận một vụ xâm nhập hoặc vi phạm dữ liệu cụ thể.

1. Cập nhật plugin WordPress OAuth Single Sign On, SSO (OAuth Client) lên phiên bản 7.1.3, là phiên bản được xác định đã sửa lỗi.
2. Sau khi cập nhật, xác nhận phiên bản thực tế trên từng website và kiểm tra rằng không còn bản cài đặt bị ảnh hưởng trong thư mục plugin hoặc công cụ quản lý tập trung.
3. Nếu chưa thể cập nhật ngay, áp dụng rule mitigation của Patchstack để chặn các yêu cầu liên quan trong thời gian chờ xử lý. Biện pháp này là tạm thời và không thay thế cho việc cập nhật.
4. Rà soát các tài khoản, thay đổi nội dung, cấu hình và hoạt động xác thực OAuth kể từ thời điểm plugin được cài đặt hoặc nâng cấp lần gần nhất.
5. Bản ghi không cung cấp hướng dẫn cấu hình tạm thời cụ thể của nhà phát triển, vì vậy không nên tự suy đoán endpoint, tham số hoặc thay đổi mã nguồn để khắc phục.

1. Kiểm kê các website WordPress đang cài plugin có package miniorange-login-with-eve-online-google-facebook.
2. Kiểm tra phiên bản plugin và xác định các bản cài đặt thuộc phạm vi bị ảnh hưởng trong affected_summary.
3. Xác nhận plugin đã được cập nhật lên bản đã sửa và kiểm tra trạng thái cập nhật trong hệ thống quản trị WordPress hoặc công cụ quản lý plugin.
4. Rà soát nhật ký truy cập WordPress, nhật ký xác thực OAuth và hoạt động quản trị để tìm các yêu cầu trái phép, đăng nhập bất thường, thay đổi tài khoản hoặc thay đổi nội dung. Đây là biện pháp giám sát phòng ngừa, không phải IOC đã được xác nhận.
5. Không coi việc không tìm thấy sự kiện đáng ngờ trong log là bằng chứng rằng website an toàn; bản ghi không cung cấp mẫu log hoặc dấu hiệu nhận diện cụ thể.