90.000’den fazla kez indirilen bir yedekleme eklentisindeki, kimliği doğrulanmamış, kritik bir uzaktan denetim yürütme (RCE) hatası ortaya çıkıyor savunmasız WordPress siteleri ele geçirilecek — web sitesi oluşturma platformu için hatalı eklentilerin oluşturduğu risk salgınının bir başka örneği.
Nex Team adındaki güvenlik açığı araştırmacılarından oluşan bir kadro, PHP kod ekleme güvenlik açığını keşfetti. Yedekleme TaşımaWordPress site yöneticilerinin yedek site oluşturmayı kolaylaştırmak için kullanabileceği bir eklenti. Hata şu şekilde izlenir: CVE-2023-6553 ve CVSS güvenlik açığı ciddiyet ölçeğinde 9,8 olarak derecelendirildi.
Eklentinin özellikleri arasında, yedeklemede tam olarak hangi dosyaların ve/veya veritabanlarının olması gerektiğini, yedeklemenin nerede saklanacağını, yedeklemenin adını tanımlamak da dahil olmak üzere, yedeklemelerin zamanında ve çeşitli yapılandırmalarla gerçekleşmesini planlama yeteneği yer alır. , vesaire.
Defiant’ın kıdemli Web uygulamaları güvenlik açığı araştırmacısı Alex Thomas şunları yazdı: “Bu güvenlik açığı, kimliği doğrulanmamış tehdit aktörlerinin rastgele PHP kodu enjekte etmesine olanak tanıyor ve bu da tüm sitenin tehlikeye girmesine neden oluyor.” CVE-2023-6553 hakkında Wordfence için bir blog yazısında. Wordfence, gönderinin yazılmasından sadece 24 saat önce güvenlik açığını hedef alan 39 saldırıyı engellediğini söyledi.
Nex Team araştırmacıları, hatayı Wordfence tarafından yakın zamanda oluşturulan bir hata ödül programına gönderdi. Wordfence’e bildirim yapıldı BackupBlissYedekleme Geçişi eklentisinin yaratıcıları ve saatler sonra bir yama yayınlandı.
Şirket ayrıca, 8 Kasım’da başlatılan ödül programına hatayı bildirdiği için Nex Team’e 2.751 ABD doları ödül verdi. Wordfence şu ana kadar programına olumlu bir yanıt alındığını, 270 güvenlik açığı araştırmacısının kaydolduğunu ve yaklaşık 130 güvenlik açığı bildiriminin olduğunu bildirdi. ilk ayında.
Kimliği Doğrulanmamış, Komple Sitenin Devralınmasına Maruz Kalma
WordPress içerik yönetim sistemi (CMS) üzerine kurulu yüz milyonlarca web sitesiyle platform ve kullanıcıları, geniş saldırı yüzeyi tehdit aktörleri için uygundur ve bu nedenle kötü niyetli kampanyaların sık sık hedefi olurlar. Bunların çoğu aracılığıyla geliyor eklentiler Kötü amaçlı yazılım yükleyen ve binlerce, hatta milyonlarca siteyi potansiyel saldırılara maruz bırakmanın kolay bir yolunu sağlayan. Saldırganlar aynı zamanda hızlı bir şekilde kusurların üzerine atlamak WordPress’te bulunanlar.
RCE kusuru, “bir saldırganın bir içermeye iletilen değerleri kontrol edebilmesi ve ardından uzaktan kod yürütmeyi gerçekleştirmek için bundan yararlanabilmesinden” kaynaklanmaktadır. bir gönderi Wordfence’in sitesinde. “Bu, kimliği doğrulanmamış saldırganların sunucuda kolayca kod yürütmesini mümkün kılıyor.”
Spesifik olarak, Yedekleme Geçişi eklentisi tarafından kullanılan /includes/backup-heart.php dosyasındaki 118. satır, Wordfence’e göre BMI_INCLUDES dizininden bypasser.php’yi dahil etmeye çalışır. BMI_INCLUDES dizini, BMI_ROOT_DIR’in 64. satırdaki include dizesiyle birleştirilmesiyle tanımlanır; ancak BMI_ROOT_DIR, 62. satırdaki content-dir HTTP başlığı aracılığıyla tanımlanır ve bu da kusuru oluşturur.
Thomas, “Bu, BMI_ROOT_DIR’in kullanıcı tarafından kontrol edilebildiği anlamına gelir” diye yazdı. “Tehdit aktörleri, özel hazırlanmış bir istek göndererek bu sorundan yararlanarak isteğe bağlı, kötü amaçlı PHP kodu ekleyebilir ve WordPress örneğinin güvenlik bağlamında temel sunucuda isteğe bağlı komutlar yürütebilir.”
Şimdi Yedekleme Geçişinde CVE-2023-6553 Yaması
/includes/backup-heart.php dosyası aracılığıyla 1.3.7’ye kadar olan tüm Yedekleme Geçişi sürümleri, 1.3.8 sürümünde düzeltilen kusura karşı savunmasızdır. Wordfence’e göre eklentiyi bir WordPress sitesinde kullanan herkesin eklentiyi en kısa sürede yamalı sürüme güncellemesi gerekiyor.
“Sitesinde bu eklentiyi kullanan birini tanıyorsanız, sitelerinin güvenli olması için bu tavsiyeyi onunla paylaşmanızı öneririz. güvende kalırWordfence gönderisine göre bu güvenlik açığı önemli bir risk oluşturduğundan.”