Peneliti Temukan Bug di Plugin E-learning untuk Situs WordPress

Cyberthreat.id - Perusahaan cybersecurity Check Point menemukan kerentanan keamanan di tiga plugin sistem manajemen pembelajaran (Learning Management System/LMS) berbasis WordPress yaitu LearnPress, LearnDash, dan LifterLMS.

LMS adalah platform E-Learning yang digunakan untuk memberikan kursus pendidikan dan program pelatihan dari jarak jauh. Tidak hanya mahasiswa yang menggunakan LMS; ini adalah platform bagi siapa saja yang tertarik dengan pembelajaran online.

Penggunaan platform ini semakin meningkat di tengah pandemi Covid-19 serta semakin banyaknya orang-orang dan institusi yang menerapkan belajar di rumah.

"Kerentanan yang ditemukan memungkinkan siswa dan terkadang pengguna yang tidak ter-autentikasi untuk mendapatkan informasi sensitif atau mengendalikan platform LMS," kata Peneliti Check Point Omri Herscovici dilansir The Hacker News, Kamis (30 April 2020).

Hingga kini tiga sistem LMS tersebut telah diinstal oleh sekitar 100.000 platform pendidikan yang berbeda, termasuk University of Florida, University of Michigan, University of Washington dan lainnya. Sementara, plugin LearnPress dan LifterLMS telah diunduh lebih dari 1,6 juta sejak awal peluncurannya.

Check Point menyebutkan, plugin LearnPress versi 3.2.6.7 memiliki kerentanan yang diidentifikasi sebagai CVE-2020-6010 - kerentanan yang memungkinkan peretas menggunakan teknik SQL Injection - dapat berdampak besar pada integritas sistem dan bahkan pengambilalihan platform.

Adapun CVE-2020-11511, kerentanan pada LearnPress yang memungkinkan aktor ancaman mendapatkan eskalasi hak istimewa, sebab aktor-aktor jahat dapat berperan menjadi guru yang terdaftar secara sah.

Kemudian LearnDash, plugin berbasis WordPress yang digunakan lebih dari 33.000 situs web. Checkpoint menemukan kerentanan CVE-2020-6009 pada versi 3.1.6 kebawah, memungkinkan penyerang membuat query (bahasa komputer) SQL berbahaya dengan menggunakan simulator yang dibuat secara khusus.

Versi 3.37.15 kebawah pada plugin LifterLMS terdapat kerentanan CVE-2020-6008, memungkinkan aktor mengeksploitasi aplikasi PHP (Hypertext Prepocessor) yang berjalan menggunakan LifterLMS.

Secara total kelemahan yang ditemukan memungkinkan penyerang mencuri informasi pribadi, mencakup nama, email, nama pengguna, password dan lainnya. Kerentanan tersebut juga memungkinkan siswa/murid mengubah nilai, mengambil tes, dan jawaban tes serta memalsukan sertifikat.

"Bug ini memungkinkan penyerang untuk menulis file PHP, tanpa kontrol apa pun atas konten. Siswa yang terdaftar dapat dengan mudah memeriksa id program apa yang didaftarkannya dan mengirimkannya dalam permintaan Ajax (Asynchronous JavaScript dan XMLHTTP)," jelas Check Point.

Check Point menyatakan bahwa kerentanan yang ditemukan telah dilaporkan ke platform terkait dan ketiga sistem LMS tersebut segera merilis tambalan keamanan. Maka, sangat disarankan untuk mengunduh dan memperbarui ketiga LMS itu ke versi terbarunya.[]

Redaktur: Arif Rahman