È stata rilevata una vulnerabilità di elevata gravità nel plugin LiteSpeed Cache per WordPress, una popolare soluzione di caching installata su oltre sei milioni di siti. Tracciata come CVE-2024-50550 con un punteggio di gravità CVSS di 8.1, questa falla consente a un attore non autenticato di acquisire privilegi da amministratore, aprendo così la strada a ulteriori attacchi malevoli. Il problema è stato risolto con l’aggiornamento alla versione 6.5.2 del plugin.
Come funziona la vulnerabilità e rischi di abuso
Il difetto risiede in una funzione denominata is_role_simulation, che simula i privilegi di amministratore utilizzando un hash di sicurezza debole, facilmente brute-forzabile. La configurazione di default consente a un attore malintenzionato di sfruttare la funzione di “crawling” per simulare un utente con ruolo amministrativo. Una volta acquisiti tali privilegi, gli attaccanti possono caricare e installare plugin dannosi. La Patchstack, azienda di sicurezza che ha identificato la falla, ha sottolineato l’importanza di valori di sicurezza più imprevedibili, poiché le funzioni PHP rand() e mt_rand() non forniscono protezione sufficiente.
Le impostazioni di configurazione vulnerabili includono:
- Attivazione della funzione di “Crawler” con un ID di ruolo amministratore.
- Configurazioni specifiche nei tempi di esecuzione e di carico del server.
Il fix introdotto da LiteSpeed rimuove la simulazione del ruolo e aggiorna la generazione dell’hash usando un valore casuale imprevedibile per ridurre i rischi.
Altri problemi di Sicurezza e consigli di Patchstack
La vulnerabilità CVE-2024-50550 è solo una delle tre falle rilevate in LiteSpeed negli ultimi due mesi, insieme a CVE-2024-44000 (CVSS 7.5) e CVE-2024-47374 (CVSS 7.2). Gli esperti di sicurezza consigliano ai proprietari di siti WordPress di mantenere LiteSpeed Cache aggiornato e monitorare fonti attendibili per ricevere avvisi di sicurezza tempestivi, specialmente in caso di rimozione del plugin dal repository di WordPress.
🔴 OSSERVATORIO INTELLIGENCE: APT & GEOPOLITICA LIVE
