Критична уязвимост в WordPress плъгина File Manager, който има 700 хиляди инсталации

В WordPress плъгина Мениджър на файлове, с повече от 700 хиляди активни инсталации, открита е уязвимост, която позволява изпълнение на произволни команди и PHP скриптове на сървъра. Проблемът се проявява в версиите на Мениджъра на файлове от 6.0 до 6.8 и е отстранен в версия 6.9.

Плъгинът Мениджър на файлове предоставя инструменти за управление на файлове за администратори на WordPress, използвайки библиотеката elFinder. В изходния код на библиотеката elFinder се намират файлове с примери на код, които се предоставят в работната директория с разширение «.dist». Уязвимостта е причинена от това, че при доставката на библиотеката файлът «connector.minimal.php.dist» е преименуван на «connector.minimal.php» и е станал достъпен за изпълнение при изпращане на външни заявки. Посоченият скрипт позволява извършване на всякакви операции с файлове (upload, open, editor, rename, rm и т.н.), тъй като неговите параметри се предават в функцията run() на основния плъгин, което може да се използва за замяна на PHP файлове в WordPress и изпълнение на произволен код.

Опасността се увеличава, тъй като уязвимостта вече се използва се използва за извършване на автоматизирани атаки, при които в директорията «plugins/wp-file-manager/lib/files/» с помощта на командата «upload» се качва изображение, съдържащо PHP код, което след това се преименува на PHP скрипт, чието име се избира случайно и съдържа текст «hard» или «x.», например, hardfork.php, hardfind.php, x.php и т.н.). След изпълнението PHP кодът добавя бекдор в файловете /wp-admin/admin-ajax.php и /wp-includes/user.php, давайки достъп на злонамерените потребители до интерфейса на администратора на сайта. Експлоатацията се извършва чрез изпращане на POST заявка до файла «wp-file-manager/lib/php/connector.minimal.php».

Забележително е, че след хакването, освен оставянето на бекдор, се извършват промени за защита от последващи опити за достъп до файла connector.minimal.php, в който се съдържа уязвимостта, с цел блокиране на възможността за атака на сървера от други престъпници.
Първите опити за атака бяха открити на 1 септември в 7 часа сутринта (UTC). В
12:33 (UTC) разработчиците на плъгина File Manager публикуваха пач. Според компанията Wordfence, която е открила уязвимостта, техният защитен екран е блокирал около 450 хиляди опити за експлоатация на уязвимостта за един ден. Сканирането на мрежата показа, че 52% от сайтовете, използващи този плъгин, още не са извършили актуализация и остават уязвими. След инсталиране на актуализацията е разумно да проверите в логовете на HTTP сървъра за искания към скрипта «connector.minimal.php», за да се установи дали системата е компрометирана.

Допълнително може да се отбележи коригиращото издание WordPress 5.5.1 в което са предложени 40 корекции.

Източник: opennet.ru