Ma kahi plugin WordPress me nā mea ʻoi aku ma mua o 700 tausani mau hoʻonohonoho ikaika, he nāwaliwali e hiki ai ke hoʻokō ʻia nā kauoha arbitrary a me nā palapala PHP ma ke kikowaena. Hōʻike ʻia ka pilikia ma File Manager e hoʻokuʻu ana i ka 6.0 a hiki i ka 6.8 a ua hoʻoholo ʻia ma ka hoʻokuʻu ʻana 6.9.
Hāʻawi ka plugin File Manager i nā mea hana hoʻokele file no ka luna hoʻomalu WordPress, me ka hoʻohana ʻana i ka waihona waihona no ka hoʻoponopono faila haʻahaʻa . Aia ka waihona kumu o ka waihona elFinder i nā faila me nā hiʻohiʻona code, i hāʻawi ʻia ma ka papa kuhikuhi hana me ka hoʻonui ".dist". Hoʻokumu ʻia ka nāwaliwali ma muli o ka hoʻouna ʻia ʻana o ka waihona, ua kapa hou ʻia ka faila "connector.minimal.php.dist" i "connector.minimal.php" a ua loaʻa i ka hoʻokō i ka wā e hoʻouna ai i nā noi waho. Hiki iā ʻoe ke hana i nā hana me nā faila (hoʻouka, wehe, hoʻoponopono, inoa hou, rm, a me nā mea ʻē aʻe), no ka mea, ua hāʻawi ʻia kona mau palena i ka hana holo () o ka plugin nui, hiki ke hoʻohana ʻia e pani i nā faila PHP. ma WordPress a holo i ke code arbitrary.
ʻO ka mea i ʻoi aku ka maikaʻi o ka pōʻino, ʻo ia ka nāwaliwali e hoʻokō i nā hoʻouka kaua, i ka manawa e hoʻouka ʻia ai kahi kiʻi i loaʻa ka code PHP i ka papa kuhikuhi "plugins/wp-file-manager/lib/files/" me ka hoʻohana ʻana i ke kauoha "upload", a laila kapa hou ʻia i ka PHP script nona ka inoa. koho wale ʻia a loaʻa ka kikokikona "paʻakikī" a i ʻole "x.", no ka laʻana, hardfork.php, hardfind.php, x.php, etc.). Ke hoʻokō ʻia, hoʻohui ka code PHP i kahi backdoor i nā faila /wp-admin/admin-ajax.php a me /wp-includes/user.php, e hāʻawi ana i nā mea hoʻouka i ke komo ʻana i ke kikowaena luna hoʻonohonoho. Hana ʻia ka hana ma ka hoʻouna ʻana i kahi noi POST i ka faila "wp-file-manager/lib/php/connector.minimal.php".
He mea noʻonoʻo ma hope o ka hack, ma waho aʻe o ka haʻalele ʻana i ka puka hope, ua hana ʻia nā hoʻololi e pale i nā kelepona hou aku i ka faila connector.minimal.php, kahi i loaʻa ai ka nāwaliwali, i mea e pale ai i ka hiki ke hoʻouka ʻia nā mea hoʻouka ʻē aʻe i ke kikowaena.
Ua ʻike ʻia nā hoʻāʻo hoʻouka mua ma ka lā 1 Kepakemapa ma ka hola 7 am (UTC). IN
12:33 (UTC) ua hoʻokuʻu nā mea hoʻomohala o ka waihona File Manager i kahi pā. Wahi a ka hui Wordfence i ʻike i ka nāwaliwali, ua kāohi kā lākou pā ahi ma kahi o 450 tausani mau hoʻāʻo e hoʻohana i ka nāwaliwali i kēlā me kēia lā. Ua hōʻike ʻia kahi scan pūnaewele he 52% o nā pūnaewele e hoʻohana ana i kēia plugin ʻaʻole i hoʻonui ʻia a noho palupalu. Ma hope o ka hoʻokomo ʻana i ka mea hou, kūpono ke nānā i ka log server http no nā kelepona i ka palapala "connector.minimal.php" e hoʻoholo ai inā ua hoʻopilikia ʻia ka ʻōnaehana.
Eia hou, hiki iā ʻoe ke nānā i ka hoʻokuʻu hoʻoponopono nana i manao .
Source: opennet.ru