Критична уязвимост в WordPress плъгина File Manager, който има 700 хиляди инсталации

В WordPress плъгина Диспечер на файлове, включващ повече от 700 хил. активни инсталации, е открита уязвимост, която позволява изпълнението на произволни команди и PHP скриптове на сървъра. Проблемът се проявява в версиите на Диспечер на файлове от 6.0 до 6.8 и е отстранен в версия 6.9.

Плъгинът Диспечер на файлове предоставя инструменти за управление на файлове за администратори на WordPress, използвайки вградена библиотека за нискоуредени манипулации с файлове, elFinder. В изходния код на библиотеката elFinder има файлове с примери на код, които се доставят в работната директория с разширение «.dist». Уязвимостта е причинена от факта, че при доставяне на библиотеката файлът «connector.minimal.php.dist» е бил прекръстен на «connector.minimal.php» и е станал достъпен за изпълнение при изпращане на външни запитвания. Посоченият скрипт позволява извършването на произволни операции с файлове (upload, open, editor, rename, rm и т.н.), тъй като неговите параметри се предават на функцията run() на основния плъгин, което може да се използва за замяна на PHP файлове в WordPress и стартиране на произволен код.

Опасността се усложнява от това, че уязвимостта вече се използва може да бъде използвана за извършване на автоматизирани атаки, при които в каталога «plugins/wp-file-manager/lib/files/» с помощта на команда «upload» се качва изображение, съдържащо PHP код, което след това се прекръства на PHP скрипт, името на който се избира случайно и съдържа текст «hard» или «x.», например hardfork.php, hardfind.php, x.php и т.н.). След стартиране PHP кодът добавя бэкдор в файловете /wp-admin/admin-ajax.php и /wp-includes/user.php, предоставяйки на нападателите достъп до интерфейса на администратора на сайта. Експлоатацията се осъществява чрез изпращане на POST запитване към файла «wp-file-manager/lib/php/connector.minimal.php».

Следва да се отбележи, че след хакването освен оставянето на бэкдора се внасят промени за защита на бъдещите обращения към файла connector.minimal.php, в който се съдържа уязвимостта, с цел блокиране на възможността за атака на сървъра от други нападатели.
Първите опити за атака бяха открити на 1 септември в 7 часа сутринта (UTC). В
12:33 (UTC) разработчиците на плъгина File Manager пуснаха пач. Според информацията на компанията за уязвимости Wordfence, през последния ден техният защитен екран е блокирал около 450 хиляди опита за експлоатация на уязвимостта. Сканирането на мрежата показа, че 52% от сайтовете, които използват този плъгин, все още не са извършили актуализация и остават уязвими. След инсталирането на актуализацията е разумно да проверите в логовете на http-сервера обращенията към скрипта «connector.minimal.php» за определяне на факта за компрометиране на системата.

Допълнително може да се отбележи коригиращото издание WordPress 5.5.1 в което са предложени 40 поправки.

Източник: opennet.ru