WPScan et la base de données nationale des vulnérabilités du gouvernement des États-Unis ont publié un avis de vulnérabilité découverte dans le plugin HubSpot WordPress. La vulnérabilité expose les utilisateurs du plugin à une attaque Server Side Request Forgery.
- WPScan et la base de données nationale des vulnérabilités du gouvernement des Etats-Unis ont identifié une vulnérabilité dans le plugin HubSpot WordPress.
- La vulnérabilité concerne une attaque Server Side Request Forgery (SSRF) que les utilisateurs du plugin pourraient subir.
- L'équipe WPScan a publié un rapport sur cette vulnérabilité, qui est liée à l'API REST du plugin ne gérant pas correctement les URL proxy. Il est donc conseillé de mettre à jour le plugin vers au moins la version 8.9.20 pour vous protéger.
- Cette vulnérabilité SSRF expose des services internes non destinés à être exposés, ce qui peut donner accès à des informations sensibles ou compromettre la sécurité d'un site web.
Rapport de vulnérabilité WPScan
Les chercheurs en sécurité de WPScan ont publié le rapport suivant :
« HubSpot La description
Le plugin ne valide pas l’URL proxy donnée au point de terminaison proxy REST, ce qui pourrait permettre aux utilisateurs disposant de la capacité edit_posts (par défaut contributeur et au-dessus) d’effectuer des attaques SSRF »
Vulnérabilité de falsification de requête côté serveur (SSRF)
Cette vulnérabilité nécessite qu’un abonné au niveau contributeur soit connecté pour que l’exposition se produise.
Pour l’organisation à but non lucratif Open Web Application Security Project (OWASP), une organisation mondiale dédiée à la sécurité des logiciels, une vulnérabilité SSRF peut entraîner l’exposition de services internes qui ne sont pas censés être exposés.
Selon l’OWASP :
« Dans une attaque par falsification de requête côté serveur (SSRF), l’attaquant peut abuser des fonctionnalités du serveur pour lire ou mettre à jour les ressources internes.
L’attaquant peut fournir ou modifier une URL à laquelle le code exécuté sur le serveur lira ou soumettra des données, et en sélectionnant soigneusement les URL, l’attaquant peut être en mesure de lire la configuration du serveur telle que les métadonnées AWS, de se connecter à des services internes comme http activé bases de données ou effectuer des demandes de publication vers des services internes qui ne sont pas destinés à être exposés.
Les services qui ne sont pas censés être exposés sont :
- « Métadonnées du serveur cloud
- Interfaces HTTP de la base de données
- Interfaces REST internes
- Fichiers – L’attaquant peut être en mesure de lire des fichiers à l’aide d’URI
»
Plugin WordPress HubSpot
Le plugin HubSpot WordPress est utilisé par plus de 200 000 éditeurs. Il fournit des fonctionnalités liées au CRM, au chat en direct, à l’analyse et au marketing par e-mail.
La vulnérabilité découverte par WPScan indique qu’elle a été corrigée dans la version 8.8.15.
Cependant, le journal des modifications qui documente ce qui a été mis à jour dans le logiciel montre que le plugin HubSpot WordPress a reçu des mises à jour supplémentaires pour corriger d’autres vulnérabilités.
Voici une liste des mises à jour selon le changelog officiel, dans l’ordre commençant par la mise à jour la plus ancienne :
= 8.8.15 (2022-04-07) = * Correction d’un problème de sécurité lié à l’URL du proxy = 8.9.14 (2022-04-12) = * Correction d’un problème de sécurité lié aux entrées de formulaire = 8.9.20 (2022-04-13 ) = * Correction d’un problème de sécurité lié à la désinfection des entrées
Alors que la société de sécurité WPScan et la base de données nationale sur les vulnérabilités indiquent que la vulnérabilité a été corrigée dans la version 8.8.15, selon le journal des modifications du plug-in HubSpot, il y a eu d’autres correctifs de sécurité jusqu’à la version 8.9.20.
Il est donc prudent de mettre à jour le plugin HubSpot vers au moins la version 8.9.20, bien que la dernière version absolue du plugin HubSpot WordPress, à ce jour, soit la version 8.11.0.
Citations
Lire le rapport de vulnérabilité WPScan
HubSpot Lire le rapport de la base de données nationale sur les vulnérabilités
CVE-2022-1239 Détail
Consultez le journal des modifications du plugin HubSpot WordPress
Journal des modifications du plugin HubSpot WordPress
FAQ
Quels sont les enjeux de sécurité des plugins WordPress ?
Les enjeux de sécurité des plugins WordPress sont multiples et doivent être pris en compte lors de l'utilisation de ces extensions. Tout d'abord, certains plugins peuvent contenir des failles de sécurité qui pourraient être exploitées par des individus malveillants pour accéder à votre site.
De plus, la compatibilité des plugins avec les différentes versions de WordPress peut également poser problème. Il est donc important de vérifier régulièrement les mises à jour et les avis des utilisateurs avant d'installer un nouveau plugin sur son site afin d'éviter tout risque potentiel pour la sécurité du site. Enfin, le choix du développeur et la popularité du plugin peuvent aussi influencer sa fiabilité et sa stabilité au niveau de la sécurité.
Comment est géré la base de données des vulnérabilités des plugins WordPress ?
La base de données des vulnérabilités des plugins WordPress est gérée par une équipe de professionnels spécialisés dans la sécurité informatique. Cette équipe se charge de collecter, vérifier et classer les informations sur les failles de sécurité découvertes dans les différents plugins.
Elle est également responsable de la mise à jour régulière de la base de données afin d'assurer une surveillance continue et efficace des vulnérabilités potentielles. Cette gestion rigoureuse permet ainsi aux utilisateurs de WordPress d'être informés rapidement des risques liés à l'utilisation de certains plugins et d'y remédier au plus vite.
Existe-t-il un moyen de vérifier les vulnérabilités d'un plugin pour WordPress ?
Il existe plusieurs moyens de vérifier les vulnérabilités d'un plugin pour WordPress. Tout d'abord, vous pouvez consulter des sites spécialisés en sécurité informatique qui publient régulièrement des articles sur les failles des plugins populaires.
Vous pouvez également utiliser des outils de scan automatique comme WPScan ou encore réaliser un audit manuel du code source du plugin en question. Enfin, il est recommandé de toujours installer les mises à jour proposées par l'auteur du plugin pour éviter toute faille de sécurité connue.
Quelle est la fréquence des mises à jour de sécurité pour les plugins WordPress ?
La fréquence des mises à jour de sécurité pour les plugins WordPress dépend principalement du développeur du plugin en question. Certains peuvent être mis à jour quotidiennement, tandis que d'autres le sont sur une base plus mensuelle ou même trimestrielle. Il est recommandé de toujours vérifier et effectuer les mises à jour régulièrement pour garantir la sécurité de votre site web sous WordPress.
Comment peut-on protéger son site contre les vulnérabilités liées aux applications web ?
Il est important de mettre en place des mesures de sécurité pour protéger son site contre les vulnérabilités liées aux applications web. Tout d'abord, il est recommandé d'utiliser un pare-feu pour filtrer le trafic entrant et sortant du site.
Ensuite, il est primordial de régulièrement mettre à jour les logiciels utilisés sur le site afin de combler les failles de sécurité connues. Opter pour des mots de passe forts et complexes ainsi que limiter l'accès aux données sensibles sont également des bonnes pratiques à suivre. Enfin, auditer régulièrement son site pour identifier la présence éventuelle de vulnérabilités et les corriger permettra une protection efficace contre les attaques malveillantes.
