Grave falla in LiteSpeed Cache: a rischio milioni di siti WordPress

Il popolare plugin LiteSpeed Cache per WordPress, usato da oltre 6 milioni di siti, è recentemente finito sotto i riflettori per una seria vulnerabilità di sicurezza che avrebbe potuto consentire agli hacker di ottenere privilegi amministrativi.

Questo difetto, identificato con il codice CVE-2024-50550, era legato a un sistema di autenticazione hash poco robusto all'interno della funzione di “simulazione ruolo” del plugin, una funzionalità pensata per simulare i diversi ruoli utente durante le scansioni dei siti. In pratica, il sistema hash in questione non era abbastanza complesso per garantire la sicurezza.

Gli attaccanti, sfruttando questo punto debole, avrebbero potuto ottenere accesso a privilegi avanzati e compiere operazioni dannose, come il caricamento di malware, la consultazione di database riservati e la modifica dei contenuti delle pagine. Tuttavia, l’esposizione al rischio era condizionata dalla configurazione di specifiche impostazioni del crawler nel plugin, il che ha limitato, in parte, l'accesso a questa vulnerabilità.

Un ricercatore del Taiwan ha identificato il problema

Un ricercatore taiwanese ha identificato il problema e lo ha prontamente segnalato a LiteSpeed nel settembre 2024. La segnalazione ha portato alla creazione di una prova di concetto per evidenziare l'entità del rischio, spingendo l’azienda a sviluppare una patch di sicurezza. La correzione è stata rilasciata nella versione 6.5.2 di LiteSpeed Cache, che ha migliorato notevolmente la complessità degli hash per renderli estremamente difficili da indovinare.

Nonostante il rilascio della patch, solo circa 2 milioni di siti hanno eseguito l’aggiornamento, lasciando ancora vulnerabili oltre 4 milioni di siti web. Questo episodio si aggiunge a una serie di problemi di sicurezza che hanno afflitto LiteSpeed Cache nel corso dell’anno: a maggio, un'altra falla era stata sfruttata per creare account amministrativi non autorizzati, mentre in agosto una vulnerabilità critica aveva permesso attacchi diffusi.

A settembre è stato poi scoperto un ulteriore bug che consentiva l’accesso a informazioni riservate dai log del plugin. Questi ripetuti incidenti evidenziano quanto sia cruciale mantenere aggiornati i plugin e i software sui siti WordPress per evitare esposizioni a rischi di sicurezza.