Serangan Gabungan pada Elementor Pro dan Ultimate Addons for Elementor Membuat 1 Juta Situs Beresiko
Pada tanggal 6 Mei 2020, tim Threat Intelligence Wordfence menerima laporan eksploitasi aktif kerentanan di dua plugin terkait, Elementor Pro dan Ultimate Addons for Elementor. Wordfence telah meninjau file log dari situs yang disusupi untuk mengonfirmasi aktivitas ini.
Karena ini adalah serangan aktif, Wordfence ingin memberi tahu Anda agar Anda dapat mengambil langkah-langkah untuk melindungi situs Anda. Wordfence dengan sengaja membatasi jumlah informasi yang diberikan oleh post ini karena ini adalah serangan yang berkelanjutan dan kerentanan paling kritis belum ditambal.
Wordfence telah merilis aturan firewall yang melindungi pengguna Wordfence Premium dari eksploitasi kerentanan ini. Pengguna Wordfence gratis akan dilindungi dari kerentanan ini setelah 30 hari, pada 5 Juni 2020.
Plugin Mana yang Terpengaruh oleh Serangan Ini
Ada dua plugin yang terpengaruh oleh campaign serangan ini. Yang pertama adalah Elementor Pro yang dibuat oleh Elementor. Plugin ini memiliki kerentanan nol hari yang dapat dieksploitasi jika pengguna memiliki pendaftaran terbuka.
UPDATE: Pada 16:22 UTC kemarin, 8 Mei 2020, Elementor telah merilis versi 2.9.4 dari Elementor Pro. Tim intelijen Wordfence telah memverifikasi bahwa ini dapat memperbaiki kerentanan ini. Wordfence sarankan segera memperbarui ke versi ini.
Plugin kedua yang terpengaruh adalah Ultimate Addons for Elementor yang dibuat oleh Brainstorm Force. Kerentanan dalam plugin ini memungkinkan kerentanan Elementor Pro untuk dieksploitasi bahkan jika situs tidak mengaktifkan pendaftaran pengguna (user registration).
Wordfence memperkirakan bahwa Elementor Pro diinstal di lebih dari 1 juta situs dan Ultimate Addons memiliki basis pemasangan sekitar 110.000.
Elementor Pro
Description: Authenticated Arbitrary File Upload
Affected Plugin: Elementor Pro
Plugin Slug: elementor-pro
Affected Versions: <= 2.9.3
CVE ID: Will be updated once identifier is supplied.
CVSS Score: 9.9 (Critical)
CVSS Vector: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Fully Patched Version: 2.9.4
Agar jelas, ini tidak memengaruhi free Elementor plugin dengan lebih dari 4 juta instalasi yang tersedia dari repositori plugin WordPress. Elementor Pro Plugin adalah download yang terpisah yang tersedia dari situs web Elementor.com. Wordfence memperkirakan bahwa Elementor Pro memiliki lebih dari 1 juta instalasi aktif.
Kerentanan dalam Elementor Pro, yang berperingkat Critical in severity, memungkinkan pengguna terdaftar untuk meng-upload file sewenang-wenang yang mengarah ke Remote Code Execution. Ini adalah kerentanan nol hari
Seorang penyerang yang dapat mengeksekusi kode dari jarak jauh di situs Anda dapat menginstal backdoor atau webshell untuk mempertahankan akses, mendapatkan akses administratif penuh ke WordPress, atau bahkan menghapus situs Anda sepenuhnya. Karena kerentanan yang belum ditonton saat ini, Wordfence mengecualikan informasi lebih lanjut.
Wordfence memiliki data melalui vendor lain yang menunjukkan tim Elementor sedang mengerjakan tambalan (patch). Wordfence telah menghubungi Elementor dan tidak segera menerima konfirmasi ini sebelum dipublikasikan.
Ultimate Addons for Elementor
Description: Registration Bypass
Affected Plugin: Ultimate Addons for Elementor
Plugin Slug: ultimate-elementor
Affected Versions: <= 1.24.1
CVE ID: Will be updated once identifier is supplied.
CVSS Score: 7.2 (High)
CVSS Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
Fully Patched Version: 1.24.2
Plugin Ultimate Addons for Elementor baru-baru ini menambal kerentanan di versi 1.24.2 yang memungkinkan penyerang untuk membuat pengguna subscriber-level bahkan jika pendaftaran dinonaktifkan di situs WordPress.
Dua Kerentanan Digunakan Secara Bersamaan untuk Menyerang Situs
Penyerang dapat langsung menargetkan kerentanan zero day di Elementor Pro di situs dengan pendaftaran pengguna terbuka.
Dalam kasus di mana sebuah situs tidak memiliki pendaftaran pengguna yang diaktifkan, penyerang menggunakan kerentanan Addons Ultimate for Elementor pada situs yang belum ditonton untuk mendaftar sebagai subscriber. Selanjutnya mereka melanjutkan untuk menggunakan akun yang baru terdaftar untuk mengeksploitasi kerentanan zero day Elementor Pro dan mencapai eksekusi kode jarak jauh
Apa Yang Harus Anda Lakukan
Tingkatkan Ultimate Addons untuk Elementor segera. Pastikan Ultimate Addons untuk Elementor adalah versi 1.24.2 atau lebih tinggi.
Downgrade ke Elementor gratis hingga patch dirilis untuk Elementor Pro. Anda dapat melakukannya dengan menonaktifkan Elementor Pro dan menghapusnya dari situs Anda. Ini akan menghapus kerentanan unggahan file.
Setelah tambalan dilepaskan, Anda dapat menginstal ulang versi Elementor Pro yang ditambal di situs Anda dan mendapatkan kembali fungsionalitas yang hilang. Anda mungkin kehilangan sementara beberapa elemen desain setelah di-downgrade tetapi dalam pengujian Wordfence, elemen ini kembali ketika menginstal ulang Elementor Pro. Namun demikian, backup sebelum downgrade lebih baik dilakukan oleh Anda
Tip: Jika Anda membutuhkan daftar di mana Anda memasang Elementor Pro, Anda dapat masuk ke akun Anda di Elementor.com lalu klik “Purchases” lalu “View Website” untuk daftar lengkap tempat Elementor Pro diinstal dengan lisensi itu.
UPDATE: Pada 16:22 UTC kemarin, 8 Mei 2020, Elementor telah merilis versi 2.9.4 dari Elementor Pro. Tim intelijen Wordfence telah memverifikasi bahwa ini memperbaiki dapat kerentanan ini. Anda tidak perlu lagi menurunkan versi untuk menjaga situs Anda tetap aman saat ini. Sebagai gantinya, Wordfence sarankan segera memperbarui ke versi 2.9.4
Periksa apakah ada pengguna subscriber-level yang tidak dikenal di situs Anda. Ini dapat menunjukkan bahwa situs Anda telah dikompromikan sebagai bagian dari campaign aktif ini. Jika memang demikian, hapuslah akun tersebut.
Periksa file yang bernama “wp-xmlrpc.php.” Ini dapat dianggap sebagai indikasi kompromi, jadi periksa situs Anda untuk bukti file ini.
Hapus semua file atau folder yang tidak dikenal yang ditemukan di /wp-content/uploads/elementor /custom-icons/directory. File yang terletak di sini setelah akun subscriber-level jahat dibuat merupakan indikasi kompromi yang jelas.
Leave a Comment