Dans le plugin WordPress , avec plus de 700 000 installations actives, une vulnérabilité permettant d'exécuter des commandes arbitraires et des scripts PHP sur le serveur. Le problème se manifeste dans les versions du Gestionnaire de fichiers allant de 6.0 à 6.8 et a été corrigé dans la version 6.9.
Le plugin Gestionnaire de fichiers fournit des outils pour gérer les fichiers pour l'administrateur WordPress, utilisant pour les manipulations de fichiers de bas niveau la bibliothèque intégrée . Dans le code source de la bibliothèque elFinder, il existe des fichiers d'exemples de code, fournis dans le répertoire de travail avec l'extension « .dist ». La vulnérabilité est causée par le fait que lors de la fourniture de la bibliothèque, le fichier « connector.minimal.php.dist » a été renommé en « connector.minimal.php » et est devenu accessible à l'exécution lors de l'envoi de requêtes externes. Le script spécifié permet d'effectuer n'importe quelle opération sur les fichiers (téléverser, ouvrir, éditer, renommer, supprimer, etc.), car ses paramètres sont transmis à la fonction run() du plugin principal, ce qui peut être utilisé pour remplacer des fichiers PHP dans WordPress et exécuter du code arbitraire.
Le danger est aggravé par le fait que la vulnérabilité est déjà utilisée pour des attaques automatisées, où une image contenant un code PHP est téléchargée dans le répertoire « plugins/wp-file-manager/lib/files/ » à l'aide de la commande « upload », puis renommée en script PHP, dont le nom est choisi de manière aléatoire et contient le texte « hard » ou « x. », par exemple, hardfork.php, hardfind.php, x.php, etc. Après l'exécution, le code PHP ajoute un backdoor dans les fichiers /wp-admin/admin-ajax.php et /wp-includes/user.php, donnant aux attaquants un accès à l'interface d'administration du site. L'exploitation est réalisée en envoyant une requête POST au fichier « wp-file-manager/lib/php/connector.minimal.php ».
Il est remarquable qu'après le piratage, en plus de laisser un backdoor, des modifications sont apportées pour protéger les accès ultérieurs au fichier connector.minimal.php, qui contient la vulnérabilité, afin de bloquer la possibilité d'attaques sur le serveur par d'autres attaquants.
Les premières tentatives d'attaque ont été détectées le 1er septembre à 7 heures du matin (UTC).
12:33 (UTC) Les développeurs du plugin File Manager ont publié un correctif. Selon la société Wordfence, qui a identifié la vulnérabilité, leur pare-feu a bloqué environ 450 000 tentatives d'exploitation de la vulnérabilité en une journée. L'analyse du réseau a révélé que 52 % des sites utilisant ce plugin n'ont pas encore effectué la mise à jour et restent vulnérables. Après avoir installé la mise à jour, il est conseillé de vérifier dans le log du serveur HTTP les accès au script « connector.minimal.php » pour déterminer si le système a été compromis.
Il convient également de noter qu'une version corrective a été publiée dans laquelle 40 corrections ont été proposées .
Source : opennet.ru
