Berkenalan dengan WordPress Really Simple Security CVE 2024-10924

pada tanggal

Analis Siber Purwakarta - Admin. WordPress tetap menjadi platform Content Management System (CMS) berbasis open-source paling populer di dunia hingga saat ini. Namun, popularitas tersebut juga menjadikannya target utama serangan siber. Pada November 2024, sebuah celah keamanan kritis ditemukan pada plugin Really Simple Security dengan indeks CVE-2024-10924. Kerentanan ini sangat berbahaya karena memungkinkan aktor ancaman melakukan authentication bypass, mengakses akun pengguna lain, hingga melakukan Vertical Privilege Escalation untuk mengambil alih hak administratif penuh atas situs target.

Pembahasan CVE 2024-10924

Sebagai sebuah Content Management System (CMS), WordPress memiliki beberapa titik masuk (entry points) utama yang memiliki fungsi dan tingkat keamanan yang berbeda-beda:

  1. Admin Dashboard: Merupakan gerbang utama untuk manajemen administrasi situs. Entry point ini bersifat sangat terbatas; hanya pengguna dengan hak akses (privilege) administratif yang diizinkan untuk masuk dan melakukan konfigurasi sistem.
  2. Public Interface: Ini adalah tampilan depan (front-end) yang berinteraksi langsung dengan pengunjung. Entry point ini dapat diakses oleh publik secara bebas untuk membaca konten atau melakukan interaksi dasar.
  3. REST API: Jalur ini digunakan oleh pengembang untuk mengelola, mengintegrasikan, dan mengembangkan aplikasi secara terprogram. Karena potensinya yang besar untuk memanipulasi data, akses ke entry point ini memerlukan mekanisme otentikasi yang ketat dan tepat (proper authentication).

CVE-2024-10924 muncul akibat pengabaian praktik secure coding pada pengelolaan endpoint REST API di dalam plugin Really Simple Security (sebelumnya dikenal sebagai Really Simple SSL) untuk WordPress. Ironisnya, Really Simple Security adalah plugin pertahanan yang digunakan secara masif untuk memperkuat keamanan situs, termasuk dalam mengelola fitur Two-Factor Authentication (2FA). Kegagalan dalam memvalidasi permintaan pada endpoint inilah yang kemudian menjadi pintu masuk bagi aktor ancaman untuk melompati pagar keamanan yang seharusnya dijaga oleh plugin tersebut.

Deteksi dan Mitigasi Kerentanan

Untuk mengidentifikasi upaya eksploitasi terhadap kerentanan ini, administrator sistem perlu melakukan analisis mendalam terhadap log aktivitas API dan event sistem. Berikut adalah metode pemeriksaan log yang direkomendasikan untuk mendeteksi indikasi serangan:

  1. Audit Web Log pada Endpoint API: Fokuskan pemantauan pada HTTP Request yang mengarah ke endpoint rentan, khususnya: /?rest_route=/reallysimplessl/v1/two_fa/skip_onboarding. Perhatikan pola metode POST yang mencurigakan, terutama permintaan yang membawa parameter spesifik seperti user_id atau login_nonce. Waspadai juga anomali request yang menunjukkan pola serangan Brute Force dalam frekuensi tinggi.
  2. Analisis Log Otentikasi: Lakukan audit berkala pada log aktivitas login. Cari jejak percobaan otentikasi di mana mekanisme Two-Factor Authentication (2FA) terindikasi berhasil dilewati (bypass). Adanya akses administratif tanpa verifikasi 2FA yang sah merupakan alarm utama terjadinya eksploitasi.
  3. Implementasi Query SIEM: Gunakan Security Information and Event Management (SIEM) untuk membuat query filter otomatis. Visualisasikan data log untuk memetakan tren percobaan eksploitasi, sehingga tim keamanan dapat merespons ancaman secara real-time sebelum kerusakan lebih lanjut terjadi.

Sedangkan langkah untuk memitigasi kerentanan ini diantaranya adalah

  1. Melakukan patch atau update plugin Really Simple Security di tempat plugin resmi
  2. Melakukan implementasi input validasi yang proper, dan penanganan error yang ketat untuk semua endpoint API
  3. Melakukan pembaharuan peringatan SIEM

Sumber:

Bypass Really Simple Security



Komentar

Posting Komentar