Π£Ρ‚Π΅Ρ‡ΠΊΠ° Π‘Π” Π² WordPress-Π΄ΠΎΠΏΠΎΠ»Π½Π΅Π½ΠΈΠΈ UpdraftPlus, Π½Π°ΡΡ‡ΠΈΡ‚Ρ‹Π²Π°ΡŽΡ‰Π΅ΠΌ 3 ΠΌΠ»Π½ установок

Π’ WordPress-Π΄ΠΎΠΏΠΎΠ»Π½Π΅Π½ΠΈΠΈ UpdraftPlus, ΠΈΠΌΠ΅ΡŽΡ‰Π΅ΠΌ Π±ΠΎΠ»Π΅Π΅ 3 ΠΌΠ»Π½ Π°ΠΊΡ‚ΠΈΠ²Π½Ρ‹Ρ… установок, выявлСна опасная ΡƒΡΠ·Π²ΠΈΠΌΠΎΡΡ‚ΡŒ (CVE-2022-0633), ΠΏΠΎΠ·Π²ΠΎΠ»ΡΡŽΡ‰Π°Ρ стороннСму ΠΏΠΎΠ»ΡŒΠ·ΠΎΠ²Π°Ρ‚Π΅Π»ΡŽ Π·Π°Π³Ρ€ΡƒΠ·ΠΈΡ‚ΡŒ копию Π±Π°Π·Ρ‹ Π΄Π°Π½Π½Ρ‹Ρ… сайта, Π² ΠΊΠΎΡ‚ΠΎΡ€ΠΎΠΉ ΠΊΡ€ΠΎΠΌΠ΅ ΠΊΠΎΠ½Ρ‚Π΅Π½Ρ‚Π° содСрТатся ΠΏΠ°Ρ€Π°ΠΌΠ΅Ρ‚Ρ€Ρ‹ всСх ΠΏΠΎΠ»ΡŒΠ·ΠΎΠ²Π°Ρ‚Π΅Π»Π΅ΠΉ ΠΈ Ρ…ΡΡˆΠΈ ΠΏΠ°Ρ€ΠΎΠ»Π΅ΠΉ. ΠŸΡ€ΠΎΠ±Π»Π΅ΠΌΠ° устранСна Π² выпусках 1.22.3 ΠΈ 2.22.3, ΠΊΠΎΡ‚ΠΎΡ€ΠΎΠ΅ рСкомСндуСтся ΠΊΠ°ΠΊ ΠΌΠΎΠΆΠ½ΠΎ скорСС ΡƒΡΡ‚Π°Π½ΠΎΠ²ΠΈΡ‚ΡŒ всСм ΠΏΠΎΠ»ΡŒΠ·ΠΎΠ²Π°Ρ‚Π΅Π»ΡΠΌ UpdraftPlus.

UpdraftPlus прСподносится ΠΊΠ°ΠΊ Π½Π°ΠΈΠ±ΠΎΠ»Π΅Π΅ популярноС Π΄ΠΎΠΏΠΎΠ»Π½Π΅Π½ΠΈΠ΅ для создания Ρ€Π΅Π·Π΅Ρ€Π²Π½Ρ‹Ρ… ΠΊΠΎΠΏΠΈΠΉ сайтов, Ρ€Π°Π±ΠΎΡ‚Π°ΡŽΡ‰ΠΈΡ… ΠΏΠΎΠ΄ ΡƒΠΏΡ€Π°Π²Π»Π΅Π½ΠΈΠ΅ΠΌ ΠΏΠ»Π°Ρ‚Ρ„ΠΎΡ€ΠΌΡ‹ WordPress. Из-Π·Π° Π½Π΅ΠΊΠΎΡ€Ρ€Π΅ΠΊΡ‚Π½ΠΎΠΉ ΠΏΡ€ΠΎΠ²Π΅Ρ€ΠΊΠΈ ΠΏΡ€Π°Π² доступа Π΄ΠΎΠΏΠΎΠ»Π½Π΅Π½ΠΈΠ΅ позволяло Π·Π°Π³Ρ€ΡƒΠ·ΠΈΡ‚ΡŒ Ρ€Π΅Π·Π΅Ρ€Π²Π½ΡƒΡŽ копию сайта ΠΈ ΡΠ²ΡΠ·Π°Π½Π½ΡƒΡŽ с Π½Π΅ΠΉ Π±Π°Π·Ρƒ Π΄Π°Π½Π½Ρ‹Ρ… Π½Π΅ Ρ‚ΠΎΠ»ΡŒΠΊΠΎ администраторам, Π½ΠΎ ΠΈ Π»ΡŽΠ±ΠΎΠΌΡƒ зарСгистрированному Π½Π° сайтС ΠΏΠΎΠ»ΡŒΠ·ΠΎΠ²Π°Ρ‚Π΅Π»ΡŽ, Π½Π°ΠΏΡ€ΠΈΠΌΠ΅Ρ€, ΠΈΠΌΠ΅ΡŽΡ‰Π΅ΠΌΡƒ статус подписчика.

Для Π·Π°Π³Ρ€ΡƒΠ·ΠΊΠΈ Ρ€Π΅Π·Π΅Ρ€Π²Π½Ρ‹Ρ… ΠΊΠΎΠΏΠΈΠΉ Π² UpdraftPlus ΠΈΡΠΏΠΎΠ»ΡŒΠ·ΡƒΠ΅Ρ‚ΡΡ ΠΈΠ΄Π΅Π½Ρ‚ΠΈΡ„ΠΈΠΊΠ°Ρ‚ΠΎΡ€, Π³Π΅Π½Π΅Ρ€ΠΈΡ€ΡƒΠ΅ΠΌΡ‹ΠΉ Π½Π° основС Π²Ρ€Π΅ΠΌΠ΅Π½ΠΈ создания Ρ€Π΅Π·Π΅Ρ€Π²Π½ΠΎΠΉ ΠΊΠΎΠΏΠΈΠΈ ΠΈ случайной ΠΏΠΎΡΠ»Π΅Π΄ΠΎΠ²Π°Ρ‚Π΅Π»ΡŒΠ½ΠΎΡΡ‚ΠΈ (nonce). ΠŸΡ€ΠΎΠ±Π»Π΅ΠΌΠ° Π² Ρ‚ΠΎΠΌ, Ρ‡Ρ‚ΠΎ ΠΈΠ·-Π·Π° отсутствия Π΄ΠΎΠ»ΠΆΠ½Ρ‹Ρ… ΠΏΡ€ΠΎΠ²Π΅Ρ€ΠΎΠΊ Π² ΠΎΠ±Ρ€Π°Π±ΠΎΡ‚Ρ‡ΠΈΠΊΠ΅ heartbeat-запросов WordPress, ΠΏΡ€ΠΈ ΠΏΠΎΠΌΠΎΡ‰ΠΈ ΡΠΏΠ΅Ρ†ΠΈΠ°Π»ΡŒΠ½ΠΎ ΠΎΡ„ΠΎΡ€ΠΌΠ»Π΅Π½Π½ΠΎΠ³ΠΎ запроса любой ΠΏΠΎΠ»ΡŒΠ·ΠΎΠ²Π°Ρ‚Π΅Π»ΡŒ ΠΌΠΎΠΆΠ΅Ρ‚ ΠΏΠΎΠ»ΡƒΡ‡ΠΈΡ‚ΡŒ ΠΈΠ½Ρ„ΠΎΡ€ΠΌΠ°Ρ†ΠΈΡŽ ΠΎ послСднСй Ρ€Π΅Π·Π΅Ρ€Π²Π½ΠΎΠΉ ΠΊΠΎΠΏΠΈΠΈ, которая Π² Ρ‚ΠΎΠΌ числС Π²ΠΊΠ»ΡŽΡ‡Π°Π΅Ρ‚ свСдСния ΠΎ Π²Ρ€Π΅ΠΌΠ΅Π½ΠΈ ΠΈ привязанной случайной ΠΏΠΎΡΠ»Π΅Π΄ΠΎΠ²Π°Ρ‚Π΅Π»ΡŒΠ½ΠΎΡΡ‚ΠΈ.

Π”Π°Π»Π΅Π΅ Π½Π° основС ΠΏΠΎΠ»ΡƒΡ‡Π΅Π½Π½ΠΎΠΉ ΠΈΠ½Ρ„ΠΎΡ€ΠΌΠ°Ρ†ΠΈΠΈ ΠΌΠΎΠΆΠ½ΠΎ ΡΡ„ΠΎΡ€ΠΌΠΈΡ€ΠΎΠ²Π°Ρ‚ΡŒ ΠΈΠ΄Π΅Π½Ρ‚ΠΈΡ„ΠΈΠΊΠ°Ρ‚ΠΎΡ€ ΠΈ Π·Π°Π³Ρ€ΡƒΠ·ΠΈΡ‚ΡŒ Ρ€Π΅Π·Π΅Ρ€Π²Π½ΡƒΡŽ копию, воспользовавшись ΠΌΠ΅Ρ‚ΠΎΠ΄ΠΎΠΌ Π·Π°Π³Ρ€ΡƒΠ·ΠΊΠΈ ΠΏΠΎ email. Π˜ΡΠΏΠΎΠ»ΡŒΠ·ΡƒΠ΅ΠΌΠ°Ρ ΠΏΡ€ΠΈ Π΄Π°Π½Π½ΠΎΠΌ ΠΌΠ΅Ρ‚ΠΎΠ΄Π΅ функция maybe_download_backup_from_email Ρ‚Ρ€Π΅Π±ΡƒΠ΅Ρ‚ обращСния ΠΊ страницС options-general.php, доступной Ρ‚ΠΎΠ»ΡŒΠΊΠΎ администратору. Π’Π΅ΠΌ Π½Π΅ ΠΌΠ΅Π½Π΅Π΅, Π°Ρ‚Π°ΠΊΡƒΡŽΡ‰ΠΈΠΉ ΠΌΠΎΠΆΠ΅Ρ‚ ΠΎΠ±ΠΎΠΉΡ‚ΠΈ Π΄Π°Π½Π½ΠΎΠ΅ ΠΎΠ³Ρ€Π°Π½ΠΈΡ‡Π΅Π½ΠΈΠ΅ Ρ‡Π΅Ρ€Π΅Π· спуфинг ΠΈΡΠΏΠΎΠ»ΡŒΠ·ΡƒΠ΅ΠΌΠΎΠΉ ΠΏΡ€ΠΈ ΠΏΡ€ΠΎΠ²Π΅Ρ€ΠΊΠ΅ ΠΏΠ΅Ρ€Π΅ΠΌΠ΅Π½Π½ΠΎΠΉ $pagenow ΠΈ ΠΎΡ‚ΠΏΡ€Π°Π²ΠΊΡƒ запроса Ρ‡Π΅Ρ€Π΅Π· ΡΠ»ΡƒΠΆΠ΅Π±Π½ΡƒΡŽ страницу, Π΄ΠΎΠΏΡƒΡΠΊΠ°ΡŽΡ‰ΡƒΡŽ ΠΎΠ±Ρ€Π°Ρ‰Π΅Π½ΠΈΠ΅ Π½Π΅ΠΏΡ€ΠΈΠ²ΠΈΠ»Π΅Π³ΠΈΡ€ΠΎΠ²Π°Π½Π½Ρ‹Ρ… ΠΏΠΎΠ»ΡŒΠ·ΠΎΠ²Π°Ρ‚Π΅Π»Π΅ΠΉ. НапримСр, ΠΌΠΎΠΆΠ½ΠΎ ΠΎΠ±Ρ€Π°Ρ‚ΠΈΡ‚ΡŒΡΡ Ρ‡Π΅Ρ€Π΅Π· страницу ΠΎΡ‚ΠΏΡ€Π°Π²ΠΊΠΈ сообщСния администратору, ΠΎΡ‚ΠΏΡ€Π°Π²ΠΈΠ² запрос Π² Π²ΠΈΠ΄Π΅ «wp-admin/admin-post.php/%0A/wp-admin/options-general.php?page=updraftplus».

Π˜ΡΡ‚ΠΎΡ‡Π½ΠΈΠΊ: opennet.ru