Un bogue critique dans Really Simple Security permet aux attaquants de se connecter sans mot de passe si la fonction AMF est activée. La fuite est si facile à exploiter qu’il faut absolument la corriger en priorité.
Le plugin populaire Really Simple Security est victime d’un bogue extrêmement critique. Celui-ci a été découvert par le spécialiste de la sécurité Wordfence. Wordfence, qui assure la sécurité de WordPress depuis 12 ans, estime que cette vulnérabilité est la plus grave qui soit apparue au cours de cette période. Environ quatre millions de sites WordPress utilisent Really Simple Security.
L’impact de ce bogue est majeur. En raison d’une ligne de code défectueuse dans l’implémentation d’AMF, dans certains cas, le plugin vérifie seulement si un utilisateur existe. Ainsi, lorsque le paramètre « login_nonce » est retourné comme étant invalide, le plugin continue d’authentifier l’utilisateur sur la base de l’identifiant uniquement.
Ironiquement, le bogue se produit lorsque les utilisateurs du plugin ont implémenté l’AMF et ont donc correctement appliqué les meilleures pratiques pour une sécurité accrue. Le bogue en question porte le nom de CVE-2024-10924 et affecte les versions 9.0.0 à 9.1.1.1 des éditions Gratuite, Pro et Pro Multisite.
Mises à jour automatiques
La version 9.1.2 du plugin Really Simple Security ne contient plus le bogue. Cette mise à jour a été publiée le 12 novembre pour les utilisateurs gratuits et le 14 novembre pour les utilisateurs de l’édition Pro. Les développeurs ont collaboré avec WordPress pour forcer le déploiement de la mise à jour et, dans de nombreux cas, ils ont réussi, mais certainement pas pour tout le monde.
Il est impératif de vérifier immédiatement si la version 9.1.2 de Really Simple Security est active. En effet, le bogue est facile à exploiter par les criminels, qui peuvent même automatiser le processus. Wordfence Premium, Care et Response ont été dotés d’une règle de pare-feu qui empêche les abus. Cette règle est accessible aux utilisateurs payants. Les clients gratuits de Wordfence recevront également la règle de pare-feu le 6 décembre, mais il n’est pas conseillé d’attendre.
Votre site web est-il sécurisé par Really Simple Security (anciennement Really Simple SSL) ? Dans ce cas, vérifiez immédiatement si la version 9.1.2 est déjà installée.