Nel plugin WordPress , che conta oltre 700.000 installazioni attive, una vulnerabilità che consente l'esecuzione di comandi arbitrari e script PHP sul server. Il problema si manifesta nelle versioni di Gestore File dalla 6.0 alla 6.8 ed è stato risolto nella versione 6.9.
Il plugin Gestore File offre strumenti per gestire i file per gli amministratori di WordPress, utilizzando la libreria integrata per operazioni a basso livello sui file . Nel codice sorgente della libreria elFinder sono presenti file con esempi di codice, forniti nella directory di lavoro con estensione «.dist». La vulnerabilità è causata dal fatto che durante la fornitura della libreria, il file «connector.minimal.php.dist» è stato rinominato in «connector.minimal.php» ed è diventato accessibile per l'esecuzione a seguito di richieste esterne. Lo script indicato consente di eseguire qualsiasi operazione sui file (upload, open, editor, rename, rm, ecc.), poiché i suoi parametri vengono passati alla funzione run() del principale plugin, il che può essere utilizzato per sostituire file PHP in WordPress e avviare codice arbitrario.
Il pericolo è aggravato dal fatto che la vulnerabilità è già utilizzata per attacchi automatizzati, durante i quali un'immagine contenente codice PHP viene caricata nella directory «plugins/wp-file-manager/lib/files/» tramite il comando «upload», che viene quindi rinominata in file PHP, il cui nome viene scelto casualmente e contiene il testo «hard» o «x.», ad esempio, hardfork.php, hardfind.php, x.php, ecc. Dopo l'esecuzione, il codice PHP aggiunge un backdoor ai file /wp-admin/admin-ajax.php e /wp-includes/user.php, fornendo accesso agli aggressori all'interfaccia di amministrazione del sito. L'exploitation avviene tramite l'invio di una richiesta POST al file «wp-file-manager/lib/php/connector.minimal.php».
È notevole che, dopo l'hacking, oltre a lasciare un backdoor, vengano apportate modifiche per proteggere ulteriori accessi al file connector.minimal.php, in cui è contenuta la vulnerabilità, al fine di bloccare la possibilità di attacchi al server da parte di altri aggressori.
Le prime tentativi di attacco sono stati rilevati il 1° settembre alle 7:00 (UTC). In
12:33 (UTC) gli sviluppatori del plugin File Manager hanno rilasciato una patch. Secondo i dati dell'azienda Wordfence, che ha identificato la vulnerabilità, nel corso della giornata il loro firewall ha bloccato circa 450.000 tentativi di sfruttamento della vulnerabilità. La scansione della rete ha mostrato che il 52% dei siti che utilizzano questo plugin non ha ancora effettuato l'aggiornamento e rimangono vulnerabili. Dopo aver installato l'aggiornamento, è consigliabile controllare il log del server HTTP per le richieste allo script "connector.minimal.php" al fine di determinare se il sistema è stato compromesso.
In aggiunta, si può notare il rilascio correttivo in cui sono stati proposti .
Fonte: opennet.ru
