আক্রমণকারীরা সক্রিয়ভাবে BackupBuddy, একটি ওয়ার্ডপ্রেস প্লাগ-ইন-এ একটি জটিল দুর্বলতাকে কাজে লাগাচ্ছে যা আনুমানিক 140,000 ওয়েবসাইট তাদের ইনস্টলেশনের ব্যাক আপ নিতে ব্যবহার করছে।
দুর্বলতা আক্রমণকারীদের প্রভাবিত ওয়েবসাইটগুলি থেকে নির্বিচারে ফাইলগুলি পড়তে এবং ডাউনলোড করতে দেয়, যার মধ্যে কনফিগারেশন তথ্য এবং সংবেদনশীল ডেটা রয়েছে যেমন পাসওয়ার্ডগুলি আরও আপসের জন্য ব্যবহার করা যেতে পারে।
ওয়ার্ডপ্রেস নিরাপত্তা বিক্রেতা Wordfence 26 অগাস্ট থেকে ত্রুটি লক্ষ্য করে আক্রমণ পর্যবেক্ষণের প্রতিবেদন করেছে এবং বলেছে যে এটি রয়েছে প্রায় 5 মিলিয়ন আক্রমণ অবরুদ্ধ তখন থেকে. প্লাগ-ইন এর বিকাশকারী, iThemes, আক্রমণ শুরু হওয়ার এক সপ্তাহেরও বেশি পরে 2 সেপ্টেম্বর ত্রুটিটির জন্য একটি প্যাচ জারি করেছে। এটি সম্ভাবনা বাড়ায় যে সফ্টওয়্যার ব্যবহার করে অন্তত কিছু ওয়ার্ডপ্রেস সাইট দুর্বলতার জন্য একটি ফিক্স উপলব্ধ হওয়ার আগে আপস করা হয়েছিল।
একটি ডিরেক্টরি ট্রাভার্সাল বাগ
তার ওয়েবসাইটের একটি বিবৃতিতে, iThemes নির্দেশিকা ট্র্যাভার্সাল দুর্বলতাকে ওয়েবসাইটগুলিকে প্রভাবিত করে বলে বর্ণনা করেছে BackupBuddy সংস্করণ 8.5.8.0 থেকে 8.7.4.1 পর্যন্ত. এটি প্লাগ-ইন ব্যবহারকারীদের অবিলম্বে BackupBuddy সংস্করণ 8.75-এ আপডেট করার আহ্বান জানিয়েছে, এমনকি তারা বর্তমানে প্লাগ-ইনটির একটি দুর্বল সংস্করণ ব্যবহার না করলেও।
"এই দুর্বলতা একজন আক্রমণকারীকে আপনার সার্ভারের যেকোন ফাইলের বিষয়বস্তু দেখার অনুমতি দিতে পারে যা আপনার ওয়ার্ডপ্রেস ইনস্টলেশন দ্বারা পড়তে পারে," প্লাগ-ইন নির্মাতা সতর্ক করে দিয়েছে।
iThemes-এর সতর্কতাগুলি কীভাবে সাইট অপারেটরগুলি নির্ধারণ করতে পারে যে তাদের ওয়েবসাইটের সাথে আপোস করা হয়েছে এবং তারা নিরাপত্তা পুনরুদ্ধার করতে পদক্ষেপ নিতে পারে সে বিষয়ে নির্দেশিকা প্রদান করে৷ এই ব্যবস্থাগুলির মধ্যে ডাটাবেসের পাসওয়ার্ড রিসেট করা, তাদের পরিবর্তন করা অন্তর্ভুক্ত ওয়ার্ডপ্রেস সল্ট, এবং তাদের সাইট-কনফিগারেশন ফাইলে API কী এবং অন্যান্য গোপনীয়তা ঘোরানো।
Wordfence বলেছে যে এটি আক্রমণকারীদের "/wp-config.php এবং /etc/passwd ফাইলের মতো সংবেদনশীল ফাইলগুলি পুনরুদ্ধার করার চেষ্টা করার জন্য ত্রুটি ব্যবহার করতে দেখেছে যা আরও একটি ভিকটিমকে আপস করতে ব্যবহার করা যেতে পারে।"
ওয়ার্ডপ্রেস প্লাগ-ইন নিরাপত্তা: একটি স্থানীয় সমস্যা
BackupBuddy ত্রুটি হল এমন হাজারো ত্রুটির মধ্যে একটি যা ওয়ার্ডপ্রেস পরিবেশে প্রকাশ করা হয়েছে — প্রায় সবকটিতেই প্লাগ-ইন জড়িত — সাম্প্রতিক বছরগুলিতে৷
এই বছরের শুরুর দিকে একটি প্রতিবেদনে, iThemes বলেছে যে এটি চিহ্নিত করেছে মোট 1,628টি ওয়ার্ডপ্রেস দুর্বলতা প্রকাশ করেছে 2021 - এবং তাদের মধ্যে 97% এর বেশি প্লাগ-ইনগুলিকে প্রভাবিত করেছে৷ প্রায় অর্ধেক (47.1%) উচ্চ থেকে গুরুতর তীব্রতা হিসাবে রেট করা হয়েছে। এবং বিরক্তিকরভাবে, 23.2% দুর্বল প্লাগ-ইনের কোন পরিচিত সমাধান ছিল না.
ডার্ক রিডিং দ্বারা ন্যাশনাল ভালনারেবিলিটি ডেটাবেস (NVD) এর একটি দ্রুত স্ক্যান দেখায় যে শুধুমাত্র সেপ্টেম্বরের প্রথম সপ্তাহে ওয়ার্ডপ্রেস সাইটগুলিকে প্রভাবিত করে এমন কয়েক ডজন দুর্বলতা প্রকাশ করা হয়েছে।
দুর্বল প্লাগ-ইনগুলি ওয়ার্ডপ্রেস সাইটের জন্য একমাত্র উদ্বেগের বিষয় নয়; দূষিত প্লাগইন অন্য সমস্যা. জর্জিয়া ইনস্টিটিউট অফ টেকনোলজির গবেষকরা 400,000 টিরও বেশি ওয়েবসাইটের একটি বৃহৎ আকারের অধ্যয়ন উন্মোচন করেছে বিস্ময়কর 47,337 দূষিত প্লাগ-ইন 24,931টি ওয়েবসাইটে ইন্সটল করা হয়েছে, তাদের বেশিরভাগই এখনও সক্রিয়৷
JupiterOne-এর CISO, Sounil Yu বলেছেন যে ওয়ার্ডপ্রেস পরিবেশে অন্তর্নিহিত ঝুঁকিগুলি যে কোনও পরিবেশে উপস্থিত থাকাগুলির মতো যা কার্যকারিতা বাড়ানোর জন্য প্লাগ-ইন, ইন্টিগ্রেশন এবং থার্ড-পার্টি অ্যাপ্লিকেশনগুলিকে কাজে লাগায়৷
"স্মার্টফোনের মতো, এই জাতীয় তৃতীয় পক্ষের উপাদানগুলি মূল পণ্যের ক্ষমতাকে প্রসারিত করে, তবে তারা সুরক্ষা দলের জন্যও সমস্যাযুক্ত কারণ তারা মূল পণ্যের আক্রমণের পৃষ্ঠকে উল্লেখযোগ্যভাবে বৃদ্ধি করে," তিনি ব্যাখ্যা করেন, এই পণ্যগুলি যাচাই করাও চ্যালেঞ্জিং কারণ তাদের নিছক সংখ্যা এবং স্পষ্ট প্রমাণের অভাব।
"নিরাপত্তা দলগুলির প্রাথমিক পন্থা রয়েছে, প্রায়শই আমি যাকে তিনটি Ps বলি: জনপ্রিয়তা, উদ্দেশ্য এবং অনুমতি," ইউ নোট করে। "অ্যাপল এবং Google দ্বারা পরিচালিত অ্যাপ স্টোরগুলির মতো, ক্ষতিকারক [প্লাগ-ইন, ইন্টিগ্রেশন এবং তৃতীয় পক্ষের অ্যাপগুলি] তাদের গ্রাহকদের জন্য সমস্যা তৈরি না করে তা নিশ্চিত করার জন্য মার্কেটপ্লেসগুলিকে আরও যাচাই করা দরকার," তিনি নোট করেন৷
আরেকটা সমস্যা হলো যখন ওয়ার্ডপ্রেস ব্যাপকভাবে ব্যবহৃত হয়, এটি প্রায়শই বিপণন বা ওয়েব-ডিজাইন পেশাদারদের দ্বারা পরিচালিত হয় এবং আইটি বা নিরাপত্তা পেশাদারদের দ্বারা নয়, ভায়াকু-এর সিইও বাড ব্রুমহেড বলেছেন৷
ব্রুমহেড ডার্ক রিডিংকে বলেন, "ইনস্টল করা সহজ এবং অপসারণ করা একটি চিন্তাভাবনা বা কখনও করা হয়নি।" "যেমন আক্রমণের পৃষ্ঠটি IoT/OT/ICS-এ স্থানান্তরিত হয়েছে, হুমকি অভিনেতারা আইটি দ্বারা পরিচালিত নয় এমন সিস্টেমগুলির লক্ষ্য করে, বিশেষ করে যেগুলি ওয়ার্ডপ্রেসের মতো ব্যাপকভাবে ব্যবহৃত হয়।"
ব্রুমহেড যোগ করেছেন, "এমনকি ওয়ার্ডপ্রেস প্লাগ-ইনগুলি দুর্বলতা সম্পর্কে সতর্কতা জারি করলেও, নিরাপত্তার চেয়ে অন্যান্য অগ্রাধিকারগুলি ক্ষতিকারক প্লাগ-ইনগুলি অপসারণে বিলম্ব করতে পারে।"
