פגיעות קריטית בתוסף וורדפרס של מנהל הקבצים עם 700 אלף התקנות

בתוסף וורדפרס מנהל קבציםעם יותר מ-700 אלף התקנות פעילות, מזוהה פגיעות המאפשרת לבצע פקודות שרירותיות וסקריפטים של PHP בשרת. הבעיה מופיעה במהדורות 6.0 עד 6.8 של מנהל הקבצים ונפתרה במהדורה 6.9.

תוסף מנהל הקבצים מספק כלים לניהול קבצים למנהל וורדפרס, תוך שימוש בספרייה הכלולה למניפולציה של קבצים ברמה נמוכה elFinder. קוד המקור של ספריית elFinder מכיל קבצים עם דוגמאות קוד, המסופקים בספריית העבודה עם הסיומת ".dist". הפגיעות נגרמת מהעובדה שכאשר הספרייה נשלחה, שם הקובץ "connector.minimal.php.dist" שונה ל-"connector.minimal.php" והפך זמין לביצוע בעת שליחת בקשות חיצוניות. הסקריפט שצוין מאפשר לך לבצע כל פעולה עם קבצים (העלאה, פתיחה, עורך, שינוי שם, rm וכו'), מכיוון שהפרמטרים שלו מועברים לפונקציית run() של התוסף הראשי, אשר ניתן להשתמש בה כדי להחליף קבצי PHP בוורדפרס ולהריץ קוד שרירותי.

מה שמחמיר את הסכנה היא שהפגיעות כבר קיימת משמש לבצע התקפות אוטומטיות, שבמהלכן מועלית תמונה המכילה קוד PHP לספריית "plugins/wp-file-manager/lib/files/" באמצעות הפקודה "upload", אשר לאחר מכן שונה שמה לסקריפט PHP ששמו הוא נבחר באקראי ומכיל את הטקסט "hard" או "x", למשל, hardfork.php, hardfind.php, x.php וכו'). לאחר הביצוע, קוד ה-PHP מוסיף דלת אחורית לקבצי /wp-admin/admin-ajax.php ו-/wp-includes/user.php, ומעניק לתוקפים גישה לממשק מנהל האתר. הפעולה מתבצעת על ידי שליחת בקשת POST לקובץ "wp-file-manager/lib/php/connector.minimal.php".

ראוי לציין שלאחר הפריצה, בנוסף ליציאה מהדלת האחורית, מתבצעים שינויים כדי להגן על קריאות נוספות לקובץ connector.minimal.php, המכיל את הפגיעות, על מנת לחסום אפשרות של תוקפים אחרים לתקוף את השרת.
ניסיונות ההתקפה הראשונים זוהו ב-1 בספטמבר בשעה 7 בבוקר (UTC). IN
12:33 (UTC) מפתחי התוסף של מנהל הקבצים שחררו תיקון. לפי חברת Wordfence שזיהתה את הפגיעות, חומת האש שלהם חסמה כ-450 אלף ניסיונות לנצל את הפגיעות ביום. סריקת רשת הראתה ש-52% מהאתרים המשתמשים בתוסף זה עדיין לא התעדכנו ונשארו פגיעים. לאחר התקנת העדכון, הגיוני לבדוק ביומן שרת http עבור קריאות לסקריפט "connector.minimal.php" כדי לקבוע אם המערכת נפגעה.

בנוסף, אתה יכול לשים לב לשחרור המתקן וורדפרס 5.5.1 אשר הציע 40 תיקונים.

מקור: OpenNet.ru