No plugin WordPress , com mais de 700 mil instalações ativas, uma vulnerabilidade que permite executar comandos arbitrários e scripts PHP no servidor. O problema ocorre nas versões do File Manager de 6.0 a 6.8 e foi corrigido na versão 6.9.
O plugin File Manager oferece ferramentas para gerenciamento de arquivos para administradores do WordPress, utilizando a biblioteca embutida para manipulações de arquivos de baixo nível . No código-fonte da biblioteca elFinder, há arquivos com exemplos de código que são fornecidos no diretório de trabalho com a extensão «.dist». A vulnerabilidade é causada pelo fato de que, ao fornecer a biblioteca, o arquivo «connector.minimal.php.dist» foi renomeado para «connector.minimal.php» e se tornou acessível para execução ao receber solicitações externas. O script mencionado permite a execução de quaisquer operações de arquivo (upload, open, editor, rename, rm, etc.), uma vez que seus parâmetros são passados para a função run() do plugin principal, o que pode ser usado para substituir arquivos PHP no WordPress e executar código arbitrário.
O perigo é agravado pelo fato de que a vulnerabilidade já para a realização de ataques automatizados, durante os quais uma imagem contendo código PHP é carregada no diretório «plugins/wp-file-manager/lib/files/» usando o comando «upload», sendo depois renomeada para um script PHP cujo nome é escolhido aleatoriamente e contém o texto «hard» ou «x.», por exemplo, hardfork.php, hardfind.php, x.php, etc. Após a execução, o código PHP adiciona um backdoor nos arquivos /wp-admin/admin-ajax.php e /wp-includes/user.php, fornecendo aos invasores acesso à interface de administração do site. A exploração é realizada enviando uma solicitação POST para o arquivo «wp-file-manager/lib/php/connector.minimal.php».
Notavelmente, após a invasão, além da adição do backdoor, são feitas alterações para proteger o acesso futuro ao arquivo connector.minimal.php, que contém a vulnerabilidade, a fim de bloquear a possibilidade de ataque ao servidor por outros invasores.
As primeiras tentativas de ataque foram identificadas em 1 de setembro às 7 horas (UTC). Em
12:33 (UTC) os desenvolvedores do plugin File Manager lançaram um patch. De acordo com a empresa Wordfence, que identificou a vulnerabilidade, seu firewall bloqueou cerca de 450 mil tentativas de exploração da vulnerabilidade em um dia. A varredura da rede mostrou que 52% dos sites que usam este plugin ainda não atualizaram e permanecem vulneráveis. Após a instalação da atualização, faz sentido verificar no log do servidor web as solicitações ao script "connector.minimal.php" para determinar se houve comprometimento do sistema.
Adicionalmente, pode-se notar um lançamento corretivo no qual foram propostas .
Fonte: opennet.ru
