A Wordfence 62 969 támadási kísérletet blokkolt egy WordPress-hiba ellen

A WordPress közleménye szerint a frissítési folyamat gyengesége miatt a telepítés időtartama alatt távolról is kódot lehet futtatni. A hibát Umut Bayram jelentette. A Wordfence szerint a probléma a WordPress Core 4.7-től 7.1.3-ig terjedő verzióit érinti.

Teljes csomagos frissítéskor az új fájlok egy kiszámítható könyvtárba kerülnek a wp-content/upgrade alatt. A másolat a WordPress telepítőjét is tartalmazza. A Wordfence szerint ez az ideiglenes könyvtár sok szerveren a webről is elérhető.

Ha a támadó a megfelelő pillanatban kéri le a telepítőt, bejelentkezés nélkül kapcsolatba léphet az ideiglenes WordPress-másolattal, és PHP-kódot futtathat a szerveren. Ehhez az is szükséges, hogy a műveletet a rendszer által végzett takarítás előtt befejezze.

A Wordfence szerint a kihasználáshoz nagyon szűk időablakot kell eltalálni: normál laboratóriumi környezetben ezt csupán másodpercekig tartónak figyelték meg. A támadók ezért ismételten lekérik a sérülékeny útvonalakat, például a setup-config.php fájlt.

A biztonsági cég 24 óra alatt 62 969, a hibát célzó támadást blokkolt. Két nagyobb forrás nagyjából 14,5 órán át próbálkozott kisebb oldalcsoportoknál, mások pedig az ideiglenes könyvtárak és verziónevek számos változatát tesztelték. A Wordfence szerint nem minden kérés a pontosan sérülékeny útvonalat használta.

A sebezhetőségnek nincs CVE-azonosítója. A CVSS-skálán 8,1-es pontszámot kapott, ami magas műszaki súlyosságot jelez.

A 7.1.4-es biztonsági kiadás telepíthető a WordPress.org oldalról letöltve, vagy a WordPress vezérlőpultján a „Frissítések” oldalon, a „Frissítés most” gombbal. Azokon az oldalakon, amelyek támogatják az automatikus háttérfrissítést, a folyamat automatikusan elindul.

Az oldal tulajdonosainak a gyanús kéréseket is ajánlott keresniük a wp-content/upgrade alatti PHP-fájloknál, továbbá az ismeretlen adminisztrátori fiókokat, bővítményeket és PHP-fájlokat is. A régebbi, biztonsági javításra jogosult ágakhoz is készülnek javítások; a WordPress közleménye szerint ezek munkálatai folyamatban vannak.

A WordPress 7.1.4 több további biztonsági hibát is javít. Ezek között szerepelnek például a blokkokhoz és a felhasználói bejelentkezési nevekhez kapcsolódó hibák, valamint egy olyan probléma, amely miatt bejelentkezés nélkül is felfedezhetők voltak még nem publikált testreszabási változtatások.

A kiadás a beépített gyökértanúsítványokat is frissíti az eMudhra visszavonása miatt. A közlemény szerint a WordPress 7.2 Beta 3 szintén tartalmazza a rá vonatkozó javításokat.