דליפה של מסד נתונים בתוסף UpdraftPlus WordPress עם 3 מיליון התקנות

זוהתה פגיעות מסוכנת (CVE-3-2022) בתוסף UpdraftPlus WordPress, בעל יותר מ-0633 מיליון התקנות פעילות, המאפשרות למשתמש צד שלישי להוריד עותק של מסד הנתונים של האתר, אשר בנוסף ל- תוכן, מכיל את הפרמטרים של כל המשתמשים ו-hash של סיסמאות. הבעיה נפתרה במהדורות 1.22.3 ו-2.22.3, שמומלץ לכל משתמשי UpdraftPlus להתקין בהקדם האפשרי.

UpdraftPlus נחשבת כתוסף הפופולרי ביותר ליצירת גיבויים של אתרים הפועלים על פלטפורמת וורדפרס. עקב בדיקה שגויה של זכויות גישה, התוסף אפשר הורדת עותק גיבוי של האתר והמאגר המשויך לא רק למנהלים, אלא גם לכל משתמש הרשום באתר, למשל, בעל סטטוס מנוי.

כדי לטעון גיבויים ל-UpdraftPlus, נעשה שימוש במזהה שמופק על סמך הזמן שבו נוצר הגיבוי ורצף אקראי (nonce). הבעיה היא שבשל היעדר בדיקות נאותות ב-WordPress Heartbeat Handler, באמצעות בקשה שתוכננה במיוחד, כל משתמש יכול לקבל מידע על הגיבוי האחרון, הכולל גם מידע על השעה והרצף האקראי הנלווה אליו.

לאחר מכן, בהתבסס על המידע שהתקבל, תוכלו ליצור מזהה ולהוריד עותק גיבוי בשיטת ההורדה במייל. הפונקציה maybe_download_backup_from_email המשמשת בשיטה זו דורשת גישה לדף options-general.php, אשר נגיש רק למנהל המערכת. עם זאת, תוקף יכול לעקוף מגבלה זו על ידי זיוף של המשתנה $pagenow המשמש בבדיקה ושליחת בקשה דרך דף שירות המאפשר גישה למשתמשים חסרי הרשאות. לדוגמה, ניתן ליצור קשר דרך העמוד לשליחת הודעה למנהל על ידי שליחת בקשה בטופס "wp-admin/admin-post.php/%0A/wp-admin/options-general.php?page=updraftplus ".

מקור: OpenNet.ru