Kriitiline haavatavus WordPressi plugina File Manageris, millel on 700 tuhat paigaldust.

WordPressi pistikprogrammis Failihaldur, millel on rohkem kui 700 000 aktiivset installatsiooni, tuvastatud on haavatavus, mis võimaldab serveris käivitada mis tahes käske ja PHP-skripte. Probleem ilmneb Failihalduri versioonides 6.0 kuni 6.8 ja on lahendatud versioonis 6.9.

Failihalduri pistikprogramm pakub WordPressi administraatorile failihalduse tööriistu, kasutades madalama taseme failimanipulatsioonide jaoks kaasasolevat teeki elFinder. ElFinderi teegi lähtetekstis on saadaval koodinäidiste failid, mis tarnitakse töökataloogis laiendusega «.dist». Haavatavus on tingitud asjaolust, et teeki tarnides nimetati fail «connector.minimal.php.dist» ümber failiks «connector.minimal.php» ja see sai kergesti ligipääsetavaks väliste päringute saatmisel. Antud skript võimaldab teha mis tahes failitehteid (üleslaadimine, avamine, redigeerimine, ümbernimetamine, kustutamine jne), kuna selle parameetrid edastatakse põhiteegi run() funktsioonile, mis võib kasutada WordPressi PHP-failide asendamist ja mis tahes koodi käivitamist.

Oht süveneb, kuna haavatavust on juba kasutatakse kasutatud automatiseeritud rünnakute korral, mille käigus laaditakse katalooge «plugins/wp-file-manager/lib/files/» üles pilt, mis sisaldab PHP-koodi, ja see nimetatakse ümber PHP-skriptiks, mille nimi valitakse juhuslikult ja sisaldab teksti «hard» või «x.», näiteks hardfork.php, hardfind.php, x.php jne. Pärast PHP-koodi käivitamist lisatakse backdoor failidesse /wp-admin/admin-ajax.php ja /wp-includes/user.php, andes kurjategijatele juurdepääsu saidi administraatori liidesesse. Eksploiteerimist tehakse saatmisega POST-päringu kaudu failile «wp-file-manager/lib/php/connector.minimal.php».

On tähelepanuväärne, et pärast häkkimist ei jäeta ainult backdoorit, vaid tehakse muudatusi, et kaitsta edasiste juurdepääsude eest failile connector.minimal.php, kus haavatavus asub, eesmärgiga blokeerida teiste kurjategijate võimalus serverit rünnata.
Esimesed rünnaku katse tuvastati 1. septembril kell 7 hommikul (UTC).
12:33 (UTC) File Manageri plugina arendajad vabastasid plaastri. Wordfence’i ettevõtte andmetel blokeeris nende tulemüür päeva jooksul umbes 450 000 katset haavatavuse ärakasutamiseks. Võrguskaneerimine näitas, et 52% selle pluginaga töötavad saitidest ei olnud veel värskendust teinud ja jäävad haavatavaks. Pärast värskenduse installimist on mõistlik kontrollida http-serveri logisid skripti „connector.minimal.php” suhtes, et kindlaks teha süsteemi kompromiteerimise fakt.

Lisaks võib märkida ka parandava väljaande WordPress 5.5.1 milles on tehtud 40 parandust.

Allikas: opennet.ru