Jutaan Toko Online Berpotensi Diretas setelah Ditemukan Kerentanan pada Plugin WooCommerce – Sekitar 4 juta toko online yang menggunakan plugin populer WordPress WooCommerce rentan terhadap peretasan setelah ditemukan celah yang dapat memungkinkan “pengelola toko” untuk meningkatkan hak istimewa dan akhirnya mengambil allih keseluruhan website yang rentan tersebut.
Para peneliti di RIPS Technologies telah melakukan penelitian terhadap plugin yang belum di-patch ini dan menemukan kemungkinan adanya eskalasi dari “pengelola toko” menjadi “pemilik” website yang rentan. Celah ini berdampak pada banyak plugin di WordPress, dan salah satu plugin yang berdampak besar adalah WooCommerce, sebuah plugin e-commerce open source yang dirancang untuk pedagang online berskala kecil hingga besar yang menggunakan WordPress. Menurut WordPress, WooCommerce digunakan oleh 30 persen pengguna dari total keseluruhan toko online yang menggunakan WordPress.
WooCommerce menetapkan “peran” untuk pengguna mulai dari pelanggan, manajer toko hingga admin. Peran manajer toko memungkinkan pengguna untuk mengelola semua pengaturan dalam platform WooCommerce, seperti membuat dan mengedit produk.
Celah yang ditemukan memungkinkan penyerang dengan akun “manajer toko” dapat membuka log manager yang rentan di WordPress dan meng-inject payload untuk menghapus plugin WooCommerce. Dengan menghapus plugin ini, ia menonaktifkan pembatasan hak akses pada plugin dan penyerang dapat mengedit dan mengambil alih akun admin.
Baca Juga:
- Peretasan Situs Dewasa Ungkap Data 1.2 Juta Pengguna Situs Wife Lovers
- Seorang Peretas Ditangkap Setelah Melakukan Defacing ke Situs Akademi Militer AS
- Jancok Security Kembali Beraksi, Kali ini Website Kepolisian Daerah Lampung Diretas
- Defacer Galau Retas Subdomain Situs Telkomsel
Kerentanan arbitrary file deletion tidak dianggap terlalu berbahaya dalam banyak kasus karena satu-satunya hal yang dapat dilakukan oleh penyerang adalah Denial of Service dengan menghapus index.php dari situs web yang rentan. Namun menghapus file plugin tertentu di WordPress dapat menonaktifkan pengecekan keamanan dan kemudian mengarah ke pengambilalihan situs secara penuh.
Masalahnya adalah bahwa user roles disimpan dalam database dan ada bahkan jika plugin dinonaktifkan. Ini berarti bahwa jika WooCommerce dinonaktifkan karena suatu alasan, pemeriksaan hak istimewa yang membatasi “pengelola toko” dari administrator tidak akan dijalankan dan perilaku default yang memungkinkan pengguna dengan kemampuan edit_users untuk mengedit setiap pengguna, bahkan administrator.
Itu akan memungkinkan pengelola toko memperbarui kata sandi akun admin dan mengambil alih seluruh situs. Eksploitasi ini tidak memerlukan apa-apa selain penyerang yang mengendalikan akun dengan peran pengguna “manajer toko”. Namun, eksploit ini tidak sempurna karena satu kelemahan utama adalah bahwa ketika penyerang mengeksekusi kerentanan ini, semua data di situs target akan hilang.
Peneliti dari RIPS Technologies telah melaporkan kerentanan arbitrary file deletion ini pada bulan Agustus, dan patch dirilis pada bulan Oktober. Automattic, perusahaan di balik WordPress dan WooCommerce, tidak menanggapi permintaan untuk komentar lebih lanjut.
