Une faille critique dans LiteSpeed Cache expose des millions de sites WordPress
Une faille de sécurité critique présente dans le plugin LiteSpeed Cache pour WordPress expose dangereusement des millions de sites web. Faisons le point.
LiteSpeed Cache est l'une des extensions les plus populaires et les plus appréciées lorsqu'il est question d'installer un plugin de mise en cache pour un site WordPress, bien qu'il y ait des alternatives comme WP-Rocket. Très populaire, elle compte à l'heure actuelle 5 millions d'installations actives.
Le problème, c'est que cette extension est affectée par une faille de sécurité critique : CVE-2024-28000. En exploitant cette vulnérabilité, un attaquant non authentifié peut élever ses privilèges sur le site WordPress et en prendre le contrôle grâce à la création d'un compte administrateur.
Vous l'aurez compris, n'importe quel visiteur d'un site web vulnérable peut exploiter cette faille de sécurité pour prendre le contrôle du site WordPress. Ensuite, cet accès peut être exploité pour collecter des données, modifier la configuration ou encore diffuser du contenu malveillant.
"Nous avons pu déterminer qu'une attaque par force brute qui itère l'ensemble des 1 million de valeurs possibles connues pour le hachage de sécurité et les transmet au cookie litespeed_hash - même à une vitesse relativement faible de 3 requêtes par seconde - est capable d'accéder au site en tant qu'identifiant d'utilisateur dans un délai compris entre quelques heures et une semaine.", peut-on lire dans le rapport de PatchStack, l'organisation à l'origine de la découverte.
Pour avoir des détails techniques sur cette faiblesse liée à une mauvaise vérification d'un hash, consultez le rapport publié sur le site de PatchStack.
Qui est affecté ? Comment se protéger ?
La faille de sécurité CVE-2024-28000 affecte toutes les versions de LiteSpeed Cache jusqu'à la version 6.3.0.1 incluse. Ce problème de sécurité a été corrigé le 13 août 2024 par les développeurs de LiteSpeed, et le correctif est présent dans la version 6.4 de l'extension.
D'après les statistiques disponibles sur le site WordPress, le plugin a été téléchargé environ 2,8 millions de fois sur les 7 derniers jours. Il y aurait donc encore plus de 2,5 millions de sites WordPress potentiellement vulnérables.
En février 2024, une alerte similaire avait été lancée pour cette extension, suite à la découverte d'une vulnérabilité (voir cet article).
Si vous utilisez LiteSpeed Cache, patchez dès que possible.
