WordPress 플러그인 취약점을 이용한 비밀 관리자 계정 생성 공격 시도

출처: The Hacker News - 기사 링크

The Hacker News는 WordPress 플러그인인 Ultimate Member에서 발견된 심각한 보안 취약점을 이용한 지속적인 공격에 대해 보도하였습니다(CVE-2023-3460, CVSS score:9.8). 이 취약점으로 인해 최대 200,000개의 WordPress 웹사이트가 위험에 노출되었습니다.

이 취약점은 Ultimate Member 플러그인의 모든 버전에 영향을 미치며, 최신 버전인 2.6.6(2023년 6월 29일에 출시됨)을 포함합니다.

Ultimate Member는 WordPress 사이트에서 사용자 프로필 및 커뮤니티 생성을 용이하게 하는 인기 있는 플러그인으로, 계정 관리 기능도 제공합니다.

WordPress 보안 회사인 WPScan은 “이 문제는 매우 심각합니다. 인증되지 않은 공격자는 이 취약점을 이용하여 관리자 권한을 갖는 새로운 사용자 계정을 생성하여 해당 사이트를 완전히 제어할 수 있습니다"라고 경고하였습니다.

해당 취약점에 대한 자세한 내용은 악용이 활발하게 진행되고 있어 공개되지 않았으나, 문제는 새로운 사용자의 wp_capabilities 메타 값을 관리자로 변경하여 사이트에 완전한 액세스 권한을 얻을 수 있는 불충분한 블록리스트 로직에서 기인한다고 합니다.

“해당 플러그인에는 사용자가 업데이트할 수 없도록 설정된 사전 정의된 금지된 키 목록이 있지만, 취약한 버전의 플러그인에서는 다양한 대소문자, 슬래시 및 문자 인코딩을 활용하여 이러한 필터를 우회하는 간단한 방법이 있습니다"라고 Wordfence의 연구원인 Chloe Chamberland는 말하였습니다.

이 문제는 해당 사이트에 악의적인 플러그인과 테마를 업로드하기 위해 새로운 계정을 등록하는 공격이 발생한 후에 알려졌으며, 플러그인 유지자들은 2.6.4, 2.6.5 및 2.6.6 버전에서 부분적인 수정 사항을 공

개했습니다. 새로운 업데이트가 이후 몇 일 내에 출시될 예정입니다.

WPScan은 패치가 불완전하며 여러 가지 우회 방법을 발견했다고 지적하며, 이 문제는 여전히 적극적으로 악용될 수 있다고 밝혔습니다.

관찰된 공격에서는 해당 취약점을 이용하여 apadmins, se_brutal, segs_brutal, wpadmins, wpengine_backup 및 wpenginer와 같은 이름의 새로운 계정을 등록하고, 사이트의 관리 패널을 통해 악성 플러그인과 테마를 업로드하는 데 사용되고 있습니다.

Ultimate Member 사용자는 해당 보안 취약점이 완전히 막히는 적절한 패치가 제공될 때까지 플러그인을 비활성화하는 것이 좋습니다. 또한 웹사이트의 모든 관리자 수준의 사용자를 검토하여 무단으로 추가된 계정이 있는지 확인하는 것이 권장됩니다.

Ultimate Member 2.6.7 버전 출시 Ultimate Member 제작자는 2023년 7월 1일에 플러그인의 취약점을 적극적으로 악용하는 것을 해결하기 위해 2.6.7 버전을 출시하였습니다. 추가적인 보안 조치로서, 웹사이트 관리자가 모든 사용자의 비밀번호를 재설정할 수 있도록 플러그인 내에 새로운 기능을 제공할 예정입니다.

“2.6.7 버전은 양식을 전송하는 동안 저장하는 메타 키에 대한 화이트리스트 기능을 도입합니다"라고 유지자들은 독립적인 고지에서 밝혔습니다. “또한 2.6.7 버전은 양식 설정 데이터와 제출된 데이터를 분리하여 2개의 다른 변수에서 처리합니다.”

참고: 위 내용은 The Hacker News에서 발행된 기사의 요약입니다. 전문 기사를 읽고 더 많은 정보를 얻으려면 원본 출처를 방문하십시오.