CVE-2023-4505: Luka LDAP Passback w wtyczce Staff / Employee Business Directory for Active Directory

Co wiadomo

Wtyczka Staff / Employee Business Directory for Active Directory do WordPressa w wersjach do 1.2.3 włącznie posiada lukę LDAP Passback. Pozwala ona uwierzytelnionym użytkownikom z uprawnieniami administracyjnymi zmienić serwer LDAP i uzyskać poświadczenia oryginalnego serwera LDAP.

Wpływ biznesowy

Luka ta może prowadzić do nieautoryzowanego dostępu do danych uwierzytelniających serwera LDAP, co stwarza ryzyko dalszych naruszeń bezpieczeństwa w infrastrukturze IT. Operatorzy powinni zwrócić uwagę na możliwość eskalacji uprawnień i wyciek danych uwierzytelniających w środowiskach korzystających z tej wtyczki.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy miniorange oraz jej instalację. W przypadku braku łatki, ogranicz dostęp administracyjny do wtyczki, monitoruj logi pod kątem podejrzanych zmian konfiguracji LDAP oraz rozważ ograniczenie ekspozycji serwera LDAP. Priorytetowo traktuj audyt i zabezpieczenie środowiska WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference