Uma falha de segurança de alta gravidade no popular plugin “Essential Addons for Elementor” do WordPress foi descoberta, potencialmente colocando em risco mais de um milhão de sites. A vulnerabilidade, que permite a invasores remotos assumir o controle de sites ao escalarem privilégios de forma não autenticada, exige a atenção imediata dos executivos de TI e líderes em segurança cibernética.
O “Essential Addons for Elementor”, uma biblioteca que contém 90 extensões para o criador de páginas ‘Elementor’, é amplamente utilizado em mais de um milhão de sites WordPress. A vulnerabilidade crítica, identificada como CVE-2023-32243, foi descoberta pela empresa de segurança cibernética PatchStack no dia 8 de maio de 2023.
Leia também:
O Futuro da Infraestrutura de TI: Como André Rocha e Leo Feijó preparam-se para o amanhã?
Vulnerabilidade crítica no WordPress afeta 1 milhão de sites
PL das Fake News é adiada após ganhar reforço da União Europeia com restrições às Big Techs
Detalhes técnicos da vulnerabilidade
Esta vulnerabilidade é uma falha de segurança na funcionalidade de redefinição de senha do plugin, afetando as versões de 5.4.0 a 5.7.1. Segundo relatório da PatchStack, “é possível redefinir a senha de qualquer usuário, desde que saibamos o nome de usuário deles, podendo, assim, redefinir a senha do administrador e fazer login em sua conta”.
A exploração desta falha pode ter consequências significativas, incluindo o acesso não autorizado a informações privadas, desfiguração ou exclusão do site, distribuição de malware para visitantes e danos à reputação da marca devido à perda de confiança e possíveis problemas de conformidade legal.
Para explorar a falha CVE-2023-32243, os atacantes não precisam se autenticar, mas precisam conhecer um nome de usuário válido no sistema que estão visando. A exploração envolve a definição de um valor aleatório nos campos POST ‘page_id’ e ‘widget_id’, além de fornecer o valor correto do nonce em ‘eael-resetpassword-nonce’ para validar a solicitação de redefinição de senha.
Medidas corretivas
Para resolver o problema, o fornecedor do plugin adicionou uma função que verifica se uma chave de redefinição de senha está presente e é legítima nas solicitações de redefinição. A correção foi lançada com a versão 5.7.2 do Essential Addons for Elementor. É altamente recomendável que todos os usuários do plugin atualizem para a versão mais recente o mais rápido possível.
Esta falha reforça a importância da segurança cibernética para organizações de todos os tamanhos. De acordo com o livro “The CISOs Guide to Cyber Security” (Guia do CISO para a Segurança Cibernética), de Ravi Das, um ambiente de TI seguro é crucial para proteger informações sensíveis e manter a continuidade dos negócios. Executivos de TI devem estar sempre atualizados sobre as últimas ameaças de segurança e implementar as melhores práticas para mitigá-las.
As atualizações de segurança são um elemento crítico da estratégia de defesa cibernética de qualquer organização. A grande maioria dos incidentes de violação de dados são causados por falhas não corrigidas, nas quais as soluções já estavam disponíveis. Assim, a atualização do plugin para a versão mais recente é uma etapa crucial para garantir a segurança dos sites WordPress que utilizam o “Essential Addons for Elementor”.
Implicações para os executivos de TI
Este incidente ressalta a necessidade de uma vigilância constante no campo da segurança cibernética. Para os executivos de TI, é um lembrete de que a segurança de suas organizações não se baseia apenas em grandes medidas estratégicas, mas também na atenção aos detalhes, como manter todos os plugins e softwares atualizados para as versões mais recentes.
Os executivos de TI devem garantir que suas equipes estejam cientes dessa vulnerabilidade e tomem medidas imediatas para atualizar o plugin “Essential Addons for Elementor” para a versão 5.7.2 em todos os sites afetados. Além disso, é aconselhável revisar todos os procedimentos de segurança e garantir que medidas adequadas estejam em vigor para monitorar e corrigir vulnerabilidades semelhantes no futuro.
A segurança cibernética é uma batalha constante contra novas ameaças e vulnerabilidades. Este incidente é um lembrete oportuno da importância de permanecer vigilante e proativo na proteção de nossos sistemas e dados. Para executivos de TI, o desafio é criar uma cultura de segurança que permeie todos os níveis de suas organizações, garantindo que incidentes como este sejam rapidamente identificados, comunicados e corrigidos.
Por Pedro Carnevalli | ITshow
