CVE-2021-24867

Backdoor w wtyczkach i motywach AccessPress Themes

CVSS 9.8v3.1pub. 2022-02-21upd. 2024-11-21

Liczne wtyczki i motywy dostawcy AccessPress Themes (znane również jako Access Keys) zawierają celowo wszczepiony backdoor będący wynikiem kompromitacji strony internetowej dostawcy. Zagrożenie jest krytyczne, ponieważ dotknięte oprogramowanie mogło zostać zainstalowane na wielu stronach WordPress bez wiedzy administratorów.

▸ Pokaż oryginał (EN)

Numerous Plugins and Themes from the AccessPress Themes (aka Access Keys) vendor are backdoored due to their website being compromised. Only plugins and themes downloaded via the vendor website are affected, and those hosted on wordpress.org are not. However, all of them were updated or removed to avoid any confusion

🤖 Analiza AI

Jak działa

Atakujący skompromitowali stronę internetową dostawcy AccessPress Themes i podmienili dostępne tam paczki instalacyjne wtyczek oraz motywów, wszczepiając do nich backdoor. Wyłącznie wersje pobrane bezpośrednio ze strony dostawcy są zainfekowane — wersje hostowane w oficjalnym repozytorium wordpress.org nie zostały dotknięte. Wszystkie dotknięte produkty zostały następnie zaktualizowane lub usunięte przez dostawcę w celu wyeliminowania zagrożenia.

Skutki

Atakujący posiadający dostęp poprzez backdoor może uzyskać pełną kontrolę nad zainfekowaną witryną WordPress, co może skutkować kradzieżą danych, przejęciem kont, umieszczeniem złośliwego kodu lub dalszym lateral movement w infrastrukturze ofiary.

Mitygacja

Należy natychmiast usunąć lub zastąpić wszystkie wtyczki i motywy AccessPress Themes pobrane bezpośrednio ze strony dostawcy. Należy zastosować czyste wersje dostępne w repozytorium wordpress.org lub patche dostępne u producenta zgodnie z referencjami. Zalecane jest przeprowadzenie audytu bezpieczeństwa witryny w celu wykrycia ewentualnych śladów aktywności backdoora.

Kogo dotyczy

Wtyczki i motywy AccessPress Themes pobrane bezpośrednio ze strony internetowej dostawcy (accesspressthemes.com), w tym m.in.: Accessbuddy, Accesspress Anonymous Post, Accesspress Basic, Accesspress Custom CSS, Accesspress Custom Post Type oraz inne produkty z oferty dostawcy. Wersje pobrane z repozytorium wordpress.org nie są dotknięte.

Uwagi

Według referencji (jetpack.com, 2022-01-18) backdoor został odkryty i ujawniony przez Jetpack. Wyłącznie wersje pobrane ze strony dostawcy są zainfekowane; wersje z repozytorium wordpress.org są bezpieczne. Klasyfikacja CWE-912 oznacza ukrytą funkcjonalność (Hidden Functionality).

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Accesspressthemes Accessbuddy
APP
Accesspressthemes
1.0.0
Accesspressthemes Accesspress Anonymous Post
APP
Accesspressthemes
2.8.0
Accesspressthemes Accesspress Basic
APP
Accesspressthemes
3.2.1
Accesspressthemes Accesspress Custom Css
APP
Accesspressthemes
2.0.1
Accesspressthemes Accesspress Custom Post Type
APP
Accesspressthemes
1.0.8
Accesspressthemes Accesspress Ifeeds
APP
Accesspressthemes
4.0.3
Accesspressthemes Accesspress Lite
APP
Accesspressthemes
2.92
Accesspressthemes Accesspress Mag
APP
Accesspressthemes
2.6.5
Accesspressthemes Accesspress Parallax
APP
Accesspressthemes
4.5
Accesspressthemes Accesspress Ray
APP
Accesspressthemes
1.19.5
Accesspressthemes Accesspress Root
APP
Accesspressthemes
2.5
Accesspressthemes Accesspress Social Counter
APP
Accesspressthemes
1.9.1
Accesspressthemes Accesspress Social Icons
APP
Accesspressthemes
1.8.2
Accesspressthemes Accesspress Social Login Lite
APP
Accesspressthemes
3.4.7
Accesspressthemes Accesspress Social Share
APP
Accesspressthemes
4.5.5
Accesspressthemes Accesspress Staple
APP
Accesspressthemes
1.9.1
Accesspressthemes Accesspress Store
APP
Accesspressthemes
2.4.9
Accesspressthemes Agency Lite
APP
Accesspressthemes
1.1.6
Accesspressthemes Ap Companion
APP
Accesspressthemes
< 1.0.7
Accesspressthemes Ap Contact Form
APP
Accesspressthemes
1.0.6
Accesspressthemes Ap Custom Testimonial
APP
Accesspressthemes
1.4.6
Accesspressthemes Apex Notification Bar Lite
APP
Accesspressthemes
2.0.4
Accesspressthemes Aplite
APP
Accesspressthemes
1.0.6
Accesspressthemes Ap Mega Menu
APP
Accesspressthemes
3.0.5
Accesspressthemes Ap Pricing Tables Lite
APP
Accesspressthemes
1.1.2
Accesspressthemes Badge Designer Lite For Woocommerce
APP
Accesspressthemes
1.1.0
Accesspressthemes Bingle
APP
Accesspressthemes
1.0.4
Accesspressthemes Bloger
APP
Accesspressthemes
1.2.6
Accesspressthemes Comments Disable Accesspress
APP
Accesspressthemes
1.0.7
Accesspressthemes Construction Lite
APP
Accesspressthemes
1.2.5