Nel plugin WordPress , che conta oltre 700.000 installazioni attive, è stata trovata una vulnerabilità che consente di eseguire comandi arbitrari e script PHP sul server. Il problema si manifesta nelle versioni di File Manager dalla 6.0 alla 6.8 ed è stato risolto nella versione 6.9.
Il plugin File Manager offre strumenti per la gestione dei file per gli amministratori di WordPress, utilizzando per le manipolazioni a basso livello dei file la libreria integrata . Nel codice sorgente della libreria elFinder sono presenti file di esempi di codice che vengono forniti nella cartella di lavoro con l'estensione «.dist». La vulnerabilità è stata causata dal fatto che, durante la fornitura della libreria, il file «connector.minimal.php.dist» è stato rinominato in «connector.minimal.php» e reso accessibile per l'esecuzione a seguito di richieste esterne. Lo script specificato consente di eseguire qualsiasi operazione sui file (upload, open, editor, rename, rm, ecc.), poiché i suoi parametri vengono passati alla funzione run() del plugin principale, il che può essere utilizzato per sostituire i file PHP in WordPress e per eseguire codice arbitrario.
Il pericolo è aggravato dal fatto che la vulnerabilità è già per l'esecuzione di attacchi automatizzati, durante i quali un'immagine contenente codice PHP viene caricata nella cartella «plugins/wp-file-manager/lib/files/» tramite il comando «upload», successivamente rinominata in uno script PHP, il cui nome è scelto casualmente e contiene il testo «hard» o «x.», ad esempio, hardfork.php, hardfind.php, x.php, ecc.). Dopo l'esecuzione, il codice PHP aggiunge un backdoor ai file /wp-admin/admin-ajax.php e /wp-includes/user.php, fornendo agli aggressori accesso all'interfaccia amministrativa del sito. L'exploitation avviene inviando una richiesta POST al file «wp-file-manager/lib/php/connector.minimal.php».
È interessante notare che dopo l'hacking, oltre a lasciare un backdoor, vengono apportate modifiche per proteggere ulteriori accessi al file connector.minimal.php, nel quale risiede la vulnerabilità, al fine di bloccare la possibilità di attacchi al server da parte di altri aggressori.
Le prime tentativi di attacco sono stati rilevati il 1 settembre alle 7:00 (UTC). Alle
12:33 (UTC), gli sviluppatori del plugin File Manager hanno rilasciato una patch. Secondo i dati forniti dall'azienda Wordfence che ha scoperto la vulnerabilità, il loro firewall ha bloccato circa 450.000 tentativi di sfruttamento della vulnerabilità in un giorno. La scansione della rete ha mostrato che il 52% dei siti che utilizzano questo plugin non ha ancora effettuato l'aggiornamento ed è quindi vulnerabile. Dopo aver installato l'aggiornamento, è consigliato controllare nei log del server web le richieste allo script «connector.minimal.php» per determinare se ci sono state compromissioni del sistema.
È inoltre possibile notare il rilascio correttivo di nel quale sono stati proposti .
Fonte: opennet.ru
