I WordPress-plugin , der har mere end 700.000 aktive installationer, en sårbarhed, der tillader kørsel af vilkårlige kommandoer og PHP-scripts på serveren. Problemet opstår i versionerne af Filhåndtering fra 6.0 til 6.8 og er blevet rettet i version 6.9.
Filhåndtering-pluginet giver værktøjer til at administrere filer for WordPress-administratorer, ved at bruge den indbyggede bibliotek . I kildekoden til biblioteket elFinder findes filer med kodeeksempler, som leveres i den arbejdsmappe, der har filendelsen «.dist». Sårbarheden opstår, fordi filen «connector.minimal.php.dist» blev omdøbt til «connector.minimal.php» ved distributionen af biblioteket og dermed blev tilgængelig for eksekvering ved at sende eksterne forespørgsler. Det angivne script tillader udførelse af enhver filoperation (upload, open, editor, rename, rm osv.), da dets parametre overføres til run()-funktionen i det primære plugin, hvilket kan bruges til at erstatte PHP-filer i WordPress og køre vilkårlig kode.
Faren forværres af, at sårbarheden allerede til automatiserede angreb, hvor et billede indeholdende PHP-kode uploades til mappen «plugins/wp-file-manager/lib/files/» ved hjælp af kommandoen «upload», som derefter omdøbes til et PHP-script, hvis navn vælges tilfældigt og indeholder teksten «hard» eller «x.», eksempelvis hardfork.php, hardfind.php, x.php osv.). Når PHP-koden køres, tilføjer den en bagdør til filerne /wp-admin/admin-ajax.php og /wp-includes/user.php, hvilket giver angriberen adgang til administratorgrænsefladen på websitet. Udførelse sker ved at sende en POST-anmodning til filen «wp-file-manager/lib/php/connector.minimal.php».
Bemærkelsesværdigt er det, at der efter bruddet, udover at efterlade en bagdør, også foretages ændringer for at beskytte mod yderligere adgang til filen connector.minimal.php, som indeholder sårbarheden, med henblik på at blokere muligheden for angreb på serveren fra andre angribere.
De første angrebsforsøg blev identificeret den 1. september kl. 7:00 (UTC). I
12:33 (UTC) udviklerne af File Manager-pluginet har udgivet en patch. Ifølge virksomheden Wordfence, der afslørede sårbarheden, har deres firewall blokeret omkring 450.000 forsøg på at udnytte sårbarheden på en dag. Netværksscanning viste, at 52% af de websteder, der bruger dette plugin, endnu ikke har opdateret og forbliver sårbare. Efter installation af opdateringen anbefales det at kontrollere loggen for http-serveren for henvendelser til skriptet «connector.minimal.php» for at bestemme, om systemet er blevet kompromitteret.
Derudover kan man nævne en korrigerende udgivelse hvor der er foreslået .
Kilde: opennet.ru
