Mewn ategyn WordPress gyda mwy na 700 mil o osodiadau gweithredol, bregusrwydd sy'n caniatáu i orchmynion mympwyol a sgriptiau PHP gael eu gweithredu ar y gweinydd. Mae'r mater yn ymddangos mewn datganiadau Rheolwr Ffeil 6.0 trwy 6.8 ac fe'i datrysir yn natganiad 6.9.
Mae'r ategyn Rheolwr Ffeiliau yn darparu offer rheoli ffeiliau ar gyfer gweinyddwr WordPress, gan ddefnyddio'r llyfrgell sydd wedi'i chynnwys ar gyfer trin ffeiliau lefel isel . Mae cod ffynhonnell llyfrgell elFinder yn cynnwys ffeiliau gydag enghreifftiau cod, a gyflenwir yn y cyfeiriadur gweithio gyda'r estyniad “.dist”. Mae'r bregusrwydd yn cael ei achosi gan y ffaith bod y ffeil "connector.minimal.php.dist" wedi'i ailenwi'n "connector.minimal.php" pan gafodd y llyfrgell ei gludo, a daeth ar gael i'w weithredu wrth anfon ceisiadau allanol. Mae'r sgript benodedig yn caniatáu ichi gyflawni unrhyw weithrediadau gyda ffeiliau (llwytho i fyny, agor, golygydd, ailenwi, rm, ac ati), gan fod ei baramedrau'n cael eu trosglwyddo i swyddogaeth rhediad () y prif ategyn, y gellir ei ddefnyddio i ddisodli ffeiliau PHP yn WordPress a rhedeg cod mympwyol.
Yr hyn sy'n gwneud y perygl yn waeth yw bod bregusrwydd eisoes i gyflawni ymosodiadau awtomataidd, pan fydd delwedd sy'n cynnwys cod PHP yn cael ei uwchlwytho i'r cyfeiriadur “plugins/wp-file-manager/lib/files/” gan ddefnyddio'r gorchymyn “llwytho i fyny”, sydd wedyn yn cael ei ailenwi'n sgript PHP o'i enw a ddewiswyd ar hap ac yn cynnwys y testun “caled” neu “x.”, er enghraifft, hardfork.php, hardfind.php, x.php, ac ati). Ar ôl ei weithredu, mae'r cod PHP yn ychwanegu drws cefn i'r ffeiliau /wp-admin/admin-ajax.php a /wp-includes/user.php, gan roi mynediad i ymosodwyr i ryngwyneb gweinyddwr y wefan. Cyflawnir gweithrediad trwy anfon cais POST i'r ffeil “wp-file-manager/lib/php/connector.minimal.php”.
Mae'n werth nodi, ar ôl y darnia, yn ogystal â gadael y drws cefn, bod newidiadau'n cael eu gwneud i amddiffyn galwadau pellach i'r ffeil connector.minimal.php, sy'n cynnwys y bregusrwydd, er mwyn rhwystro'r posibilrwydd o ymosod ar y gweinydd gan ymosodwyr eraill.
Canfuwyd yr ymdrechion ymosodiad cyntaf ar 1 Medi am 7 am (UTC). YN
12:33 (UTC) mae datblygwyr yr ategyn Rheolwr Ffeil wedi rhyddhau clwt. Yn ôl y cwmni Wordfence a nododd y bregusrwydd, rhwystrodd eu wal dân tua 450 mil o ymdrechion i fanteisio ar y bregusrwydd y dydd. Dangosodd sgan rhwydwaith nad yw 52% o wefannau sy'n defnyddio'r ategyn hwn wedi'u diweddaru eto a'u bod yn parhau i fod yn agored i niwed. Ar ôl gosod y diweddariad, mae'n gwneud synnwyr i wirio log gweinydd http am alwadau i'r sgript “connector.minimal.php” i benderfynu a yw'r system wedi'i chyfaddawdu.
Yn ogystal, gallwch nodi'r datganiad cywirol a gynnygiodd .
Ffynhonnell: opennet.ru