Ubuthathaka obubalulekileyo kwi WordPress- I-plugin ye-File Manager, ene-700 lamawaka okufakelwa

В WordPress-плагине Umphathi weFayilengofakelo olusebenzayo olungaphezulu kwamawaka angama-700, ichongiwe ubuthathaka obuvumela imiyalelo engenasizathu kunye nemibhalo ye-PHP ukuba yenziwe kumncedisi. Umba uvela kuMphathi weFayile ukhupha i-6.0 nge-6.8 kwaye usonjululwe ekukhululweni kwe-6.9.

Плагин File Manager предоставляет инструменты для управления файлами для администратора WordPress, используя для низкоуровневых манипуляций с файлами входящую в состав библиотеку elFinder. В исходном коде библиотеки elFinder присутствуют файлы с примерами кода, которые поставляются в рабочем каталоге с расширением «.dist». Уязвимость вызвана тем, что при поставке библиотеки файл «connector.minimal.php.dist» был переименован в «connector.minimal.php» и стал доступен для выполнения при отправке внешних запросов. Указанный скрипт позволяет выполнить любые операции с файлами (upload, open, editor, rename, rm и т.п.), так как его параметры передаются в функцию run() основного плагина, что может использоваться для замены PHP-файлов в WordPress и запуска произвольного кода.

Yintoni eyenza ingozi ibe mandundu kukuba ubuthathaka sele bukhona iyasetyenziswa ukwenza uhlaselo oluzenzekelayo, ngexesha apho umfanekiso oqulathe ikhowudi ye-PHP ulayishwa kwi "plugins/wp-file-manager/lib/files/" directory usebenzisa "ukulayisha" umyalelo, othiywe ngokutsha kwiscript sePHP esigama liyi. ekhethwe ngokungenamkhethe kwaye iqulethe isicatshulwa "kanzima" okanye "x.", umzekelo, hardfork.php, hardfind.php, x.php, njl.). Emva kokuba iqhutywe, ikhowudi ye-PHP yongeza i-backdoor kwi /wp-admin/admin-ajax.php kunye /wp-includes/user.php iifayile, ukunika abahlaseli ukufikelela kwi-interface yomphathi wesayithi. Ukusebenza kuqhutyelwa ngokuthumela isicelo se-POST kwifayile "wp-file-manager/lib/php/connector.minimal.php".

Kuyaphawuleka ukuba emva kwe-hack, ngaphezu kokushiya i-backdoor, utshintsho lwenziwa ukukhusela iifowuni ezongezelelweyo kwifayile ye-connector.minimal.php, equlethe ubuthathaka, ukwenzela ukuvimba amathuba okuba abanye abahlaseli bahlasele umncedisi.
Imizamo yokuqala yokuhlaselwa yafunyanwa ngoSeptemba 1 ngo-7 am (UTC). IN
12:33 (UTC) abaphuhlisi beplagi yoMphathi weFayile bakhuphe isiqwenga. Ngokwenkampani ye-Wordfence echonge ubuthathaka, i-firewall yabo ivale malunga nama-450 amawaka emalinge okuxhaphaza ubuthathaka ngosuku. Iskena sothungelwano sibonise ukuba i-52% yeesayithi ezisebenzisa le plugin azikahlaziywa kwaye zihlala zisengozini. Emva kokufaka uhlaziyo, kunengqiqo ukujonga i-log yeseva ye-http kwiifowuni kwi-script "connector.minimal.php" ukugqiba ukuba inkqubo iye yaphazamiseka.

Ukongeza, unokuqaphela ukukhutshwa kokulungiswa WordPress 5.5.1 ecetywayo 40 ukulungiswa.

umthombo: opennet.ru