V pluginu WordPress , který má více než 700 tisíc aktivních instalací, existuje zranitelnost, která umožňuje spouštět libovolné příkazy a PHP skripty na serveru. Problém se objevuje ve verzích File Manager od 6.0 do 6.8 a byl odstraněn ve verzi 6.9.
Plugin File Manager poskytuje nástroje pro správu souborů pro administrátora WordPressu, přičemž pro nízkoúrovňové manipulace se soubory využívá vestavěnou knihovnu . V kódu knihovny elFinder jsou soubory s příklady kódu, které jsou dodávány v pracovním adresáři s příponou „.dist“. Zranitelnost je způsobena tím, že při dodání knihovny byl soubor „connector.minimal.php.dist“ přejmenován na „connector.minimal.php“ a stal se dostupným pro provádění při odesílání externích žádostí. Uvedený skript umožňuje provádět libovolné operace se soubory (upload, open, editor, rename, rm atd.), protože jeho parametry jsou předávány do funkce run() hlavního pluginu, což může být použito k nahrazení PHP souborů ve WordPressu a spuštění libovolného kódu.
Nebezpečí zhoršuje skutečnost, že zranitelnost již byla zneužita pro automatizované útoky, při nichž je do adresáře „plugins/wp-file-manager/lib/files/“ pomocí příkazu „upload“ nahrán obrázek obsahující PHP kód, který je poté přejmenován na PHP skript, jehož název je zvolen náhodně a obsahuje text „hard“ nebo „x.“, například hardfork.php, hardfind.php, x.php atd.). Po spuštění PHP kód přidává backdoor do souborů /wp-admin/admin-ajax.php a /wp-includes/user.php, což útočníkům poskytuje přístup do administračního rozhraní webu. Zneužití se provádí odesláním POST žádosti k souboru „wp-file-manager/lib/php/connector.minimal.php“.
Je zajímavé, že po útoku, kromě zanechání backdooru, jsou provedeny změny pro ochranu před dalším přístupem k souboru connector.minimal.php, ve kterém se nachází zranitelnost, s cílem zablokovat možnost útoku na server dalšími útočníky.
První pokusy o útok byly zjištěny 1. září v 7 hodin ráno (UTC). V
12:33 (UTC) vývojáři pluginu File Manager vydali opravu. Podle společnosti Wordfence, která odhalila zranitelnost, jejich firewall za den zablokoval přibližně 450 tisíc pokusů o využití této zranitelnosti. Skenování sítě ukázalo, že 52% stránek používajících tento plugin dosud neprovedlo aktualizaci a zůstává zranitelných. Po instalaci aktualizace má smysl zkontrolovat v logu http-serveru přístupy ke skriptu „connector.minimal.php“ pro určení faktu kompromitace systému.
Dále lze zmínit opravný vydání ve kterém je navrženo .
Zdroj: opennet.ru
