Έχουν κυκλοφορήσει ενημερώσεις για το UpdraftPlus, ένα WordPress plugin με περισσότερα από 3 εκατομμύρια installations, μετά την ανακάλυψη μιας ευπάθειας από τον ερευνητή ασφαλείας Marc Montpas.
Σε μια ανάρτηση, η ομάδα του Wordfence Threat Intelligence εξήγησε ότι η ευπάθεια επιτρέπει σε κάθε συνδεδεμένο χρήστη, συμπεριλαμβανομένων των χρηστών σε επίπεδο συνδρομητή, να κατεβάσει αντίγραφα ασφαλείας που έχουν δημιουργηθεί με την προσθήκη. Τα αντίγραφα ασφαλείας είναι ένας θησαυρός ευαίσθητων πληροφοριών και συχνά περιλαμβάνουν αρχεία ρυθμίσεων που μπορούν να χρησιμοποιηθούν για πρόσβαση στη βάση δεδομένων του ιστότοπου καθώς και στα περιεχόμενα της ίδιας της βάσης δεδομένων, εξήγησε η εταιρεία ασφαλείας του WordPress.
Οι ερευνητές εξέτασαν το patch και μπόρεσαν να δημιουργήσουν ένα proof of concept. Σε μια αρχική έκδοση του blog, το Wordfence είπε ότι ο εισβολέας θα πρέπει να ξεκινήσει την επίθεσή του όταν ένα αντίγραφο ασφαλείας ήταν σε εξέλιξη και θα πρέπει να μαντέψει την κατάλληλη χρονική σήμανση για να κατεβάσει το backup.
Αλλά αργότερα ενημερώθηκε για να πει ότι το Wordfence διαπίστωσε ότι είναι δυνατό να αποκτηθεί ένα πλήρες αρχείο καταγραφής που περιέχει ένα backup nonce και timestamp ανά πάσα στιγμή, «καθιστώντας αυτήν την ευπάθεια σημαντικά πιο εκμεταλλεύσιμη».
Η UpdraftPlus επιδιορθώνει την ευπάθεια την Πέμπτη στην έκδοση 1.22.3 και προέτρεψε τους χρήστες να ελέγξουν τον ιστότοπό τους για να βεβαιωθούν ότι εκτελούσαν την πιο πρόσφατη έκδοση.
Η εταιρεία είπε ότι το ζήτημα περιστρέφεται γύρω από τον έλεγχο UpdraftPlus_Options::admin_page() === $pagenow. Οι εισβολείς μπορούν να ξεγελάσουν τον έλεγχο $pagenow και να πιστέψουν ότι το αίτημα είναι στο options-general.php, ενώ το WordPress εξακολουθεί να βλέπει το αίτημα ως ένα επιτρεπόμενο endpoint του admin-post.php, σύμφωνα με το Wordfence.
Το Wordfence πρόσθεσε ότι για να εκμεταλλευτεί την ευπάθεια, ο χάκερ θα χρειαζόταν έναν ενεργό λογαριασμό στο στοχευμένο σύστημα.
Ο John Bambenek της Netenrich είπε στο ZDNet ότι το WordPress αντιπροσωπεύει ένα από τα μεγαλύτερα backend ιστοσελίδων στο Διαδίκτυο και τα προβλήματα ασφαλείας προέρχονται από το τεράστιο οικοσύστημα των plugin που εκτελούν είτε ικανοί developers είτε χομπίστες.
“Η πρόσβαση στα αντίγραφα ασφαλείας και στη βάση δεδομένων θα χρησιμοποιηθεί πιθανότατα πρώτα για κλοπή των credentials“, δήλωσε ο Bambenek.
Ο μηχανικός της Vulcan Cyber Mike Parkin πρότεινε τη δημιουργία ενός κανόνα firewall για να μετριαστεί αυτή η ευπάθεια μέχρι να εφαρμοστεί η ενημέρωση κώδικα.
Πηγή: secnews.gr
