U WordPress dodatku , s više od 700 tisuća aktivnih instalacija, postoji ranjivost koja omogućava izvršavanje proizvoljnih naredbi i PHP skripti na poslužitelju. Problema se javlja u verzijama File Managera od 6.0 do 6.8 i ispravljena je u izdanju 6.9.
Dodatak File Manager pruža alate za upravljanje datotekama za WordPress administratore, koristeći za niske razine manipulacije datotekama biblioteku uključenu u paket . U izvornom kodu biblioteke elFinder postoje datoteke s primjerima koda koje se isporučuju u radnom direktoriju s ekstenzijom '.dist'. Ranjivost je uzrokovana time što je tijekom isporuke biblioteke datoteka 'connector.minimal.php.dist' preimenovana u 'connector.minimal.php' i postala dostupna za izvođenje prilikom slanja vanjskih zahtjeva. Spomenuta skripta omogućava izvršavanje bilo kojih operacija sa datotekama (upload, open, editor, rename, rm itd.), jer se njezini parametri prosljeđuju funkciji run() glavnog dodatka, što se može iskoristiti za zamjenu PHP datoteka u WordPressu i pokretanje proizvoljnog koda.
Opasnost se dodatno povećava jer je ranjivost već iskorištena za automatizirane napade, tijekom kojih se u direktorij 'plugins/wp-file-manager/lib/files/' pomoću naredbe 'upload' učitava slika koja sadrži PHP kod, a koja se zatim preimenuje u PHP skriptu čije ime se nasumično odabire i sadrži tekst 'hard' ili 'x.', na primjer, hardfork.php, hardfind.php, x.php itd.). Nakon pokretanja, PHP kod dodaje backdoor u datoteke /wp-admin/admin-ajax.php i /wp-includes/user.php, omogućujući napadačima pristup sučelju za administratore stranice. Eksploatacija se provodi slanjem POST zahtjeva datoteci 'wp-file-manager/lib/php/connector.minimal.php'.
Zanimljivo je da nakon hakiranja, osim ostavljanja backdoora, dolazi do promjena za zaštitu od daljnjih pristupa datoteci connector.minimal.php, u kojoj se nalazi ranjivost, s ciljem blokiranja mogućnosti napada na poslužitelj od strane drugih napadača.
Prvi pokušaji napada uočeni su 1. rujna u 7 sati (UTC). U
12:33 (UTC) programeri dodatka File Manager objavili su ispravak. Prema informacijama kompanije Wordfence koja je otkrila ranjivost, njihov vatrozid blokirao je oko 450 tisuća pokušaja iskorištavanja ranjivosti u jednom danu. Istraživanje mreže pokazalo je da 52% stranica koje koriste ovaj dodatak još nisu izvršile ažuriranje i ostaju ranjive. Nakon instalacije ažuriranja, preporučuje se provjeriti u http-server logu pristupe skripti "connector.minimal.php" kako bi se utvrdila eventualna kompromitacija sustava.
Dodatno se može primijetiti korektivno izdanje u kojem su predložena .
Izvor: opennet.ru
