Rischio di compromissione dell'admin di WordPress: gli aggressori sfruttano le vulnerabilità SAML di miniOrange

Gli aggressori stanno prendendo di mira attivamente le vulnerabilità di sicurezza nel plugin miniOrange SAML, una popolare estensione di WordPress che fornisce funzionalità di single sign-on. Queste falle possono essere sfruttate per concedere a un aggressore pieno accesso amministrativo a un sito WordPress. I proprietari di siti web e i team IT che utilizzano questo plugin dovrebbero considerare la situazione urgente e adottare misure protettive.

SAML, o Security Assertion Markup Language, è uno standard utilizzato per l'autenticazione. In un ambiente WordPress, il plugin miniOrange SAML consente agli utenti di accedere utilizzando le credenziali di un provider di identità esterno, come Azure Active Directory o Google Workspace. Questo è comodo perché gli utenti non devono creare e ricordare un nome utente e una password separati per il sito WordPress. Tuttavia, le vulnerabilità di sicurezza nel modo in cui il plugin elabora queste richieste di accesso SAML hanno aperto una porta agli aggressori.

Quando una vulnerabilità nel flusso di autenticazione viene sfruttata, un aggressore può bypassare i normali controlli di accesso e assumere l'identità di un utente esistente. Se riescono a prendere il controllo di un account amministratore, ottengono il massimo livello di controllo sul sito WordPress. Con accesso amministrativo, un attore malintenzionato può alterare i contenuti del sito, installare plugin backdoor, modificare post precedenti, raccogliere dati degli utenti o utilizzare il sito per distribuire malware. Per le attività di e-commerce, questo potrebbe anche significare esposizione delle informazioni dei clienti e perdite finanziarie.

È noto che gli aggressori scansionano e sfruttano attivamente tali falle di sicurezza. I dettagli specifici della vulnerabilità di miniOrange SAML non sono ancora completamente divulgati, ma il fatto che gli aggressori la stiano cercando significa che ogni sito che fa affidamento sul plugin è a rischio. In attacchi tipici di questo tipo, una richiesta appositamente formulata viene inviata all'endpoint di accesso di WordPress. Il plugin potrebbe convalidare in modo errato l'asserzione SAML, pensando che l'aggressore appartenga a un provider di identità autorizzato. Dopo una convalida riuscita, l'aggressore accede come utente target.

Gli amministratori di WordPress possono ridurre la loro esposizione aggiornando il plugin miniOrange SAML all'ultima versione appena è disponibile una patch. Se una patch non è ancora stata rilasciata, considera di disabilitare il plugin fino a quando non lo è. È anche una buona pratica rivedere periodicamente l'elenco degli utenti con privilegi di amministratore e rimuovere eventuali account che non sono stati creati da te. L'abilitazione dell'autenticazione a due fattori (2FA) per tutti gli account amministratore fornisce un ulteriore livello di sicurezza: anche se un aggressore ha un nome utente e una password validi, non sarà in grado di completare l'accesso senza il secondo fattore. Mantenere backup regolari del tuo sito garantisce di poterlo ripristinare rapidamente in caso di attacco.

Le aziende che eseguono WordPress su una piattaforma di hosting gestito possono fare affidamento sul provider di hosting per gestire molte di queste attività di sicurezza. AEU Hosting offre hosting WordPress gestito protetto end-to-end, il che significa che la piattaforma si occupa di aggiornamenti, monitoraggio della sicurezza e protezione contro minacce comuni per conto tuo. Questo può aiutare i proprietari di siti a risparmiare tempo e riduce il rischio di perdere patch critiche.