A WordPress bővítményben , több mint 700 ezer aktív telepítéssel rendelkezik, sebezhetőség, amely lehetővé teszi tetszőleges parancsok és PHP-scriptek végrehajtását a szerveren. A probléma a 6.0 és 6.8 közötti File Manager verziókban jelentkezik, és a 6.9-es verzióban javították.
A File Manager plugin eszközöket biztosít a WordPress fájlok kezelésére, alacsony szintű fájlkezelési műveletekhez az alábbi könyvtár használatával . Az elFinder könyvtár forráskódjában példakódokat tartalmazó fájlok találhatók, amelyek a '.dist' kiterjesztéssel érkeznek a munkakönyvtárban. A sebezhetőség abból adódik, hogy a könyvtár átadásakor a 'connector.minimal.php.dist' fájlt 'connector.minimal.php'-ra nevezték át, ezzel lehetővé téve, hogy külső kérések révén végrehajtható legyen. Az említett script lehetővé teszi a fájlokkal (feltöltés, megnyitás, szerkesztés, átnevezés, törlés stb.) kapcsolatos műveletek végrehajtását, mivel a paraméterei a fő plugin run() függvényébe kerülnek, amit PHP fájlok cserélésére a WordPress-ben és tetszőleges kód végrehajtására lehet használni.
A veszélyt tovább fokozza, hogy a sebezhetőség már automatikus támadásokhoz vezetett, amelyek során a 'plugins/wp-file-manager/lib/files/' könyvtárba a 'feltöltés' paranccsal egy PHP-kódot tartalmazó képet töltenek fel, amelyet ezt követően PHP-scriptté neveznek át, a neve véletlenszerűen kerül kiválasztásra és tartalmazza a 'hard' vagy 'x.' szöveget, például hardfork.php, hardfind.php, x.php stb.). A PHP kód végrehajtása során hátsó ajtót helyez el a /wp-admin/admin-ajax.php és /wp-includes/user.php fájlokba, amely hozzáférést biztosít a weboldal adminisztrátori felületéhez a támadók számára. A kihasználáshoz POST kérést küldenek a 'wp-file-manager/lib/php/connector.minimal.php' fájlhoz.
Figyelemre méltó, hogy a feltörést követően a hátsó ajtó mellett változtatások is történnek a 'connector.minimal.php' fájlhoz való további hozzáférés védelme érdekében, amelyben a sebezhetőség található, annak céljából, hogy megakadályozzák az újabb támadásokat más támadók részéről.
Az első támadási kísérleteket szeptember 1-jén reggel 7 órakor (UTC) észlelték.
12:33 (UTC) A File Manager plugin has released a patch. According to the vulnerability detection company Wordfence, their firewall blocked about 450,000 exploitation attempts in a day. Network scans showed that 52% of websites using this plugin have not yet updated and remain vulnerable. After installing the update, it's advisable to check the HTTP server logs for requests to the script 'connector.minimal.php' to determine if the system has been compromised.
Additionally, a corrective release can be noted in which 40 fixes are proposed. .
Forrás: opennet.ru
