Im WordPress-Plugin , das über 700.000 aktive Installationen zählt, gibt es eine Schwachstelle, die das Ausführen beliebiger Befehle und PHP-Skripte auf dem Server ermöglicht. Das Problem tritt in den Versionen von File Manager von 6.0 bis 6.8 auf und wurde in der Version 6.9 behoben.
Das Plugin File Manager bietet Administratoren von WordPress Werkzeuge zur Verwaltung von Dateien und nutzt dafür die integrierte Bibliothek . Im Quellcode der Bibliothek elFinder befinden sich Beispiele, die im Arbeitsverzeichnis mit der Endung „.dist“ geliefert werden. Die Schwachstelle entsteht dadurch, dass bei der Auslieferung der Bibliothek die Datei „connector.minimal.php.dist“ in „connector.minimal.php“ umbenannt wurde und somit bei externen Anfragen ausführbar wurde. Das angegebene Skript ermöglicht es, beliebige Dateioperationen (hochladen, öffnen, bearbeiten, umbenennen, rm usw.) auszuführen, da seine Parameter an die Funktion run() des Hauptplugins übergeben werden, was verwendet werden kann, um PHP-Dateien in WordPress zu ersetzen und beliebigen Code auszuführen.
Die Gefahr wird verstärkt durch die Tatsache, dass die Schwachstelle bereits für automatisierte Angriffe, bei denen im Verzeichnis „plugins/wp-file-manager/lib/files/“ ein Bild mit PHP-Code über den Befehl „upload“ hochgeladen wird. Dieses wird dann in ein PHP-Skript umbenannt, dessen Name zufällig ausgewählt wird und den Text „hard“ oder „x.“ enthält, zum Beispiel hardfork.php, hardfind.php, x.php usw. Nach dem Start fügt der PHP-Code Hintertüren in die Dateien /wp-admin/admin-ajax.php und /wp-includes/user.php ein, die Angreifern Zugang zur Administrationsoberfläche der Website verschaffen. Die Ausnutzung erfolgt durch das Senden einer POST-Anfrage an die Datei „wp-file-manager/lib/php/connector.minimal.php“.
Bemerkenswert ist, dass nach dem Hack nicht nur eine Hintertür hinterlassen, sondern auch Änderungen vorgenommen werden, um weitere Zugriffe auf die Datei connector.minimal.php, die die Schwachstelle enthält, zu schützen und die Möglichkeit eines Angriffs auf den Server durch andere Angreifer zu blockieren.
Die ersten Angriffsversuche wurden am 1. September um 7 Uhr morgens (UTC) festgestellt. Im
12:33 (UTC) Die Entwickler des File Manager-Plugins haben einen Patch veröffentlicht. Laut der Sicherheitsfirma Wordfence wurden innerhalb eines Tages etwa 450.000 Versuche zur Ausnutzung der Schwachstelle von ihrer Firewall blockiert. Eine Netzwerkanalyse hat gezeigt, dass 52 % der Websites, die dieses Plugin nutzen, noch nicht aktualisiert wurden und weiterhin anfällig sind. Nach der Installation des Updates sollte man die Zugriffe auf das Skript „connector.minimal.php“ im HTTP-Server-Log überprüfen, um mögliche Kompromittierungen des Systems festzustellen.
Zusätzlich kann auf die Korrekturversion hingewiesen werden in der 40 Fehlerbehebungen angeboten werden .
Quelle: opennet.ru
