WPScan et la base de données nationale des vulnérabilités du gouvernement des États-Unis ont publié un avis de vulnérabilité découverte dans le plugin HubSpot WordPress. La vulnérabilité expose les utilisateurs du plugin à une attaque Server Side Request Forgery.
Rapport de vulnérabilité WPScan
Les chercheurs en sécurité de WPScan ont publié le rapport suivant :
« HubSpot < 8.8.15 - Contributeur + SSRF aveugle
La description
Le plugin ne valide pas l’URL proxy donnée au point de terminaison proxy REST, ce qui pourrait permettre aux utilisateurs disposant de la capacité edit_posts (par défaut contributeur et au-dessus) d’effectuer des attaques SSRF »
Vulnérabilité de falsification de requête côté serveur (SSRF)
Cette vulnérabilité nécessite qu’un abonné au niveau contributeur soit connecté pour que l’exposition se produise.
Pour l’organisation à but non lucratif Open Web Application Security Project (OWASP), une organisation mondiale dédiée à la sécurité des logiciels, une vulnérabilité SSRF peut entraîner l’exposition de services internes qui ne sont pas censés être exposés.
Selon l’OWASP :
« Dans une attaque par falsification de requête côté serveur (SSRF), l’attaquant peut abuser des fonctionnalités du serveur pour lire ou mettre à jour les ressources internes.
L’attaquant peut fournir ou modifier une URL à laquelle le code exécuté sur le serveur lira ou soumettra des données, et en sélectionnant soigneusement les URL, l’attaquant peut être en mesure de lire la configuration du serveur telle que les métadonnées AWS, de se connecter à des services internes comme http activé bases de données ou effectuer des demandes de publication vers des services internes qui ne sont pas destinés à être exposés.
Les services qui ne sont pas censés être exposés sont :
- « Métadonnées du serveur cloud
- Interfaces HTTP de la base de données
- Interfaces REST internes
- Fichiers – L’attaquant peut être en mesure de lire des fichiers à l’aide d’URI
»
Plugin WordPress HubSpot
Le plugin HubSpot WordPress est utilisé par plus de 200 000 éditeurs. Il fournit des fonctionnalités liées au CRM, au chat en direct, à l’analyse et au marketing par e-mail.
La vulnérabilité découverte par WPScan indique qu’elle a été corrigée dans la version 8.8.15.
Cependant, le journal des modifications qui documente ce qui a été mis à jour dans le logiciel montre que le plugin HubSpot WordPress a reçu des mises à jour supplémentaires pour corriger d’autres vulnérabilités.
Voici une liste des mises à jour selon le changelog officiel, dans l’ordre commençant par la mise à jour la plus ancienne :
= 8.8.15 (2022-04-07) = * Correction d’un problème de sécurité lié à l’URL du proxy = 8.9.14 (2022-04-12) = * Correction d’un problème de sécurité lié aux entrées de formulaire = 8.9.20 (2022-04-13 ) = * Correction d’un problème de sécurité lié à la désinfection des entrées
Alors que la société de sécurité WPScan et la base de données nationale sur les vulnérabilités indiquent que la vulnérabilité a été corrigée dans la version 8.8.15, selon le journal des modifications du plug-in HubSpot, il y a eu d’autres correctifs de sécurité jusqu’à la version 8.9.20.
Il est donc prudent de mettre à jour le plugin HubSpot vers au moins la version 8.9.20, bien que la dernière version absolue du plugin HubSpot WordPress, à ce jour, soit la version 8.11.0.
Citations
Lire le rapport de vulnérabilité WPScan
HubSpot < 8.8.15 – Contributeur + SSRF aveugle
Lire le rapport de la base de données nationale sur les vulnérabilités
CVE-2022-1239 Détail
Consultez le journal des modifications du plugin HubSpot WordPress
Journal des modifications du plugin HubSpot WordPress
