700만 건 설치된 파일 관리자 WordPress 플러그인의 치명적인 취약점

WordPress 플러그인에서 파일 관리자700만 개 이상의 활성 설치를 보유하고 있으며, 확인됨 서버에서 임의의 명령과 PHP 스크립트를 실행할 수 있는 취약점입니다. 이 문제는 파일 관리자 릴리스 6.0부터 6.8까지 나타나며 릴리스 6.9에서 해결되었습니다.

파일 관리자 플러그인은 하위 수준 파일 조작을 위해 포함된 라이브러리를 사용하여 WordPress 관리자를 위한 파일 관리 도구를 제공합니다. 엘파인더. elFinder 라이브러리의 소스 코드에는 코드 예제가 포함된 파일이 포함되어 있으며 확장자는 ".dist"로 작업 디렉터리에 제공됩니다. 해당 취약점은 라이브러리가 출시될 때 "connector.minimal.php.dist" 파일의 이름이 "connector.minimal.php"로 바뀌고 외부 요청을 보낼 때 실행할 수 있게 되었다는 사실 때문에 발생합니다. 지정된 스크립트를 사용하면 해당 매개변수가 PHP 파일을 대체하는 데 사용할 수 있는 기본 플러그인의 run() 함수에 전달되므로 파일에 대한 모든 작업(업로드, 열기, 편집기, 이름 바꾸기, rm 등)을 수행할 수 있습니다. WordPress에서 임의의 코드를 실행합니다.

위험을 더욱 악화시키는 것은 취약성이 이미 사용 된 자동화된 공격을 수행하기 위해 "upload" 명령을 사용하여 PHP 코드가 포함된 이미지를 "plugins/wp-file-manager/lib/files/" 디렉토리에 업로드한 다음 이름이 다음과 같은 PHP 스크립트로 이름이 변경됩니다. 무작위로 선택되며 "hard" 또는 "x."라는 텍스트를 포함합니다(예: hardfork.php, hardfind.php, x.php 등). PHP 코드가 실행되면 /wp-admin/admin-ajax.php 및 /wp-includes/user.php 파일에 백도어를 추가하여 공격자가 사이트 관리자 인터페이스에 액세스할 수 있게 합니다. 작업은 "wp-file-manager/lib/php/connector.minimal.php" 파일에 POST 요청을 보내 수행됩니다.

해킹 이후에는 백도어를 벗어나는 것 외에도, 다른 공격자가 서버를 공격할 가능성을 차단하기 위해 취약점이 포함된 Connector.minimal.php 파일에 대한 추가 호출을 보호하도록 변경된 점이 주목할 만합니다.
첫 번째 공격 시도는 1월 7일 오전 XNUMX시(UTC)에 감지됐다. 안에
12:33 (UTC) 파일 관리자 플러그인 개발자가 패치를 출시했습니다. 취약점을 발견한 Wordfence 회사에 따르면 그들의 방화벽은 하루에 약 450만 건의 취약점을 악용하려는 시도를 차단했습니다. 네트워크 검사에 따르면 이 플러그인을 사용하는 사이트 중 52%가 아직 업데이트되지 않았으며 여전히 취약한 것으로 나타났습니다. 업데이트를 설치한 후 http 서버 로그에서 "connector.minimal.php" 스크립트 호출을 확인하여 시스템이 손상되었는지 확인하는 것이 좋습니다.

또한 수정 릴리스를 확인할 수 있습니다. 워드 프레스 5.5.1 제안한 40개 수정.

출처 : opennet.ru