Kritisk sårbarhet i WordPress- File Manager-plugin, som har 700 tusen installationer

В WordPress-plugin fILHANTERAREN, med mer än 700 tusen aktiva installationer, identifieras en sårbarhet som tillåter att godtyckliga kommandon och PHP-skript körs på servern. Problemet påverkar File Manager-versionerna 6.0 till 6.8 och är åtgärdat i version 6.9.

Insticksprogrammet Filhanterare tillhandahåller filhanteringsverktyg för administratören. WordPress, med hjälp av det medföljande biblioteket för filmanipulation på låg nivå elFinderelFinder-bibliotekets källkod innehåller exempelkodfiler som finns i arbetskatalogen med tillägget ".dist". Sårbarheten orsakas av att filen "connector.minimal.php.dist" döptes om till "connector.minimal.php" under biblioteksdistributionen och blev tillgänglig för körning när externa förfrågningar skickades. Detta skript tillåter att alla filoperationer (uppladdning, öppna, redigering, byte av namn, rm, etc.) utförs, eftersom dess parametrar skickas till run()-funktionen i huvudpluginet, som kan användas för att ersätta PHP-filer i WordPress och kör godtycklig kod.

Faran förvärras av det faktum att sårbarheten redan är används att utföra automatiserade attacker, där en bild som innehåller PHP-kod laddas upp till katalogen "plugins/wp-file-manager/lib/files/" med hjälp av kommandot "upload", som sedan byter namn till ett PHP-skript, vars namn väljs slumpmässigt och innehåller texten "hard" eller "x." (t.ex. hardfork.php, hardfind.php, x.php, etc.). När PHP-koden startas lägger den till en bakdörr till filerna /wp-admin/admin-ajax.php och /wp-includes/user.php, vilket ger angripare tillgång till webbplatsens administratörsgränssnitt. Utnyttjandet utförs genom att skicka en POST-begäran till filen "wp-file-manager/lib/php/connector.minimal.php".

Det är värt att notera att efter hackningen, förutom att lämna en bakdörr, görs ändringar för att skydda ytterligare anrop till filen connector.minimal.php, som innehåller sårbarheten, i syfte att blockera möjligheten att attackera servern av andra inkräktare.
De första attackförsöken upptäcktes den 1 september klockan 7:XNUMX (UTC).
12:33 (UTC) Utvecklare av File Manager-pluginet har släppt en patch. Enligt Wordfence, företaget som upptäckte sårbarheten, blockerade deras brandvägg cirka 450 tusen försök att utnyttja sårbarheten på en dag. Nätverksskanning visade att 52 % av webbplatserna som använder detta plugin ännu inte har uppdaterats och fortfarande är sårbara. Efter att ha installerat uppdateringen är det klokt att kontrollera http-serverloggen för anrop till skriptet "connector.minimal.php" för att avgöra om systemet har blivit komprometterat.

Dessutom kan en korrigerande utgåva noteras. WordPress 5.5.1 där det föreslås 40 fixar.

Källa: opennet.ru