Kritická zraniteľnosť v plugine WordPress File Manager, ktorý má 700 tisíc inštalácií

Vo WordPress plugine Správca súborov, s viac ako 700 tisíc aktívnymi inštaláciami, bola zistená zraniteľnosť, ktorá umožňuje spúšťanie ľubovoľných príkazov a PHP skriptov na serveri. Problém sa prejavuje vo verziách Správca súborov od 6.0 do 6.8 a bol odstránený vo verzii 6.9.

Plugin Správca súborov poskytuje nástroje na správu súborov pre administrátora WordPress, pričom na nízkoúrovňové manipulácie so súbormi využíva zabudovanú knižnicu elFinder. V zdrojovom kóde knižnice elFinder sú súbory s príkladmi kódu, ktoré sa dodávajú v pracovnom adresári s príponou „.dist“. Zraniteľnosť je spôsobená tým, že pri dodaní knižnice bol súbor „connector.minimal.php.dist“ premenovaný na „connector.minimal.php“ a stal sa prístupným na vykonávanie pri zasielaní vonkajších požiadaviek. Uvedený skript umožňuje vykonávať akékoľvek operácie so súbormi (nahrávanie, otvorenie, editor, premenovanie, odstránenie atď.), keďže jeho parametre sa odovzdávajú do funkcie run() hlavného pluginu, čo môže byť použité na nahradenie PHP súborov v WordPress a spúšťanie ľubovoľného kódu.

Nebezpečenstvo sa zhoršuje tým, že zraniteľnosť je už sa používa využívaná na vykonávanie automatizovaných útokov, počas ktorých sa do adresára „plugins/wp-file-manager/lib/files/“ pomocou príkazu „upload“ nahráva obrázok obsahujúci PHP kód, ktorý sa potom premenováva na PHP skript, jehož názov je vybraný náhodne a obsahuje text „hard“ alebo „x.“, napríklad hardfork.php, hardfind.php, x.php atď.). Po spustení PHP kód pridáva zadný vchod do súborov /wp-admin/admin-ajax.php a /wp-includes/user.php, poskytujúci útočníkom prístup k administrátorskému rozhraniu webu. Využitie sa uskutočňuje zaslaním POST požiadavky na súbor „wp-file-manager/lib/php/connector.minimal.php“.

Zaujímavé je, že po hacknutí okrem zanechania zadného vchodu dochádza k zmenám na ochranu ďalších pokusov o prístup k súboru connector.minimal.php, v ktorom sa nachádza zraniteľnosť, s cieľom zablokovať možnosť útoku na server inými útočníkmi.
Prvé pokusy o útok boli zistené 1. septembra o 7:00 ráno (UTC). V
12:33 (UTC) vývojári pluginu File Manager vydali patch. Podľa údajov spoločnosti Wordfence, ktorá odhalila zraniteľnosť, ich firewall za deň zablokoval približne 450 tisíc pokusov o zneužitie zraniteľnosti. Skenovanie siete ukázalo, že 52 % stránok používajúcich tento plugin ešte neaktualizovalo a zostávajú zraniteľné. Po nainštalovaní aktualizácie má zmysel skontrolovať v logu http-serveru prístupy k skriptu „connector.minimal.php“ na zistenie príPadnosti systému.

Navyše môžeme spomenúť opravné vydanie WordPress 5.5.1 v ktorom sú navrhnuté 40 opráv.

Zdroj: opennet.ru