Már próbálják kihasználni a WordPress frissítési folyamatának hibáját

A WordPress közlése szerint a frissítési folyamat hibája a művelet közben adhat lehetőséget távoli kódfuttatásra. A Defiant magas kockázatúnak minősítette a sérülékenységet: a kihasználásához nem kell fiók a webhelyen, de a támadás összetett, és nagyon szűk időablakban kell végrehajtani.

A hiba akkor jelentkezhet, amikor a WordPress egy teljes frissítőcsomag fájljait egy ideiglenes könyvtárba bontja ki. Ez a könyvtár kiszámítható helyen található, és sok szerveren a webről is elérhető. A támadónak azelőtt kell végrehajtania a műveletet, hogy a WordPress eltakarítaná az ideiglenes fájlokat.

A Defiant szerint ehhez olyan teljes csomag szükséges, amely tartalmazza a telepítőfájlokat. Emellett a könyvtárnak a webről és PHP-n keresztül is elérhetőnek kell lennie, az útvonalát pedig a támadónak ki kell találnia vagy meg kell találnia.

A Defiant beszámolója szerint a támadók ismétlődő kérésekkel próbálják eltalálni a kihasználáshoz rendelkezésre álló, másodpercekig tartó időablakot. A Wordfence mérései a hozzá kapcsolódó új tűzfalszabály bevezetése után már kilenc perccel jeleztek egy találatot.

Az első 21 órában több mint 18 500 kérést rögzítettek, amelyek az ideiglenes könyvtárban található setup-config.php telepítőfájl útvonalait célozták. A Wordfence sikeres kompromittálásról nem számolt be. A hibához a beszámoló szerint még nem rendeltek CVE-azonosítót.

A WordPress 7.1.4 október 28-án megjelent biztonsági kiadás. A Defiant szerint a javítás véletlenszerűvé teszi az ideiglenes könyvtár nevét, indexvédelmet ad hozzá, és megakadályozza a könyvtárban előkészített konfigurációs adatok nem biztonságos átvételét.

A hivatalos közlés szerint a webhely az adminisztrációs felületről frissíthető: az irányítópulton a Frissítések menüt, majd a Frissítés most gombot kell választani. A csomag a WordPress.org oldalról is letölthető. Azokon a webhelyeken, amelyek támogatják az automatikus háttérfrissítést, a folyamat automatikusan elindul.

A WordPress közlése szerint a biztonsági javításokat a 4.7-es ágig visszamenőleg is elkészítik a jogosult ágakhoz. A közlés idején ezek kiadása még folyamatban volt. A WordPress arra is felhívja a figyelmet, hogy aktív támogatást csak a legfrissebb verzió kap.

A beszámoló szerint a WordPress 7.1.4 összesen 22 biztonsági hibát javít. A hivatalos kiadási jegyzék többek között az Interactivity API, a blokkok és a testreszabó hibáit sorolja fel.

A javítások között szerepel egy olyan probléma is, amely miatt be nem jelentkezett látogatók felfedezhettek nem publikált testreszabási módosításokat. Egy másik hiba lehetővé tette, hogy bizonyos jogosultsággal rendelkező felhasználók olyan bejegyzésekhez tartozó jegyzeteket is olvassanak, amelyeket nem szerkeszthettek. A kiadás az eMudhra visszavonása miatt a mellékelt gyökértanúsítványokat is frissíti.