Atakujący wykorzystują lukę w zabezpieczeniach wtyczki WordPress Zero-Day w BackupBuddy

Atakujący aktywnie wykorzystują krytyczną lukę w zabezpieczeniach BackupBuddy, wtyczki do WordPressa, której szacunkowo 140,000 XNUMX stron internetowych używa do tworzenia kopii zapasowych swoich instalacji.

Luka umożliwia atakującym odczytywanie i pobieranie dowolnych plików z zagrożonych witryn internetowych, w tym zawierających informacje konfiguracyjne i poufne dane, takie jak hasła, które można wykorzystać do dalszego naruszenia bezpieczeństwa.

Dostawca zabezpieczeń WordPress, firma Wordfence, zgłosił obserwację ataków wymierzonych w tę lukę, które rozpoczęły się 26 sierpnia, i stwierdził, że tak się stało zablokował blisko 5 milionów ataków od tego czasu. Twórca wtyczki, firma iThemes, opublikował łatkę usuwającą lukę 2 września, ponad tydzień po rozpoczęciu ataków. Rodzi to ryzyko, że przynajmniej niektóre witryny WordPress korzystające z tego oprogramowania zostały naruszone, zanim udostępniono poprawkę usuwającą lukę.

Błąd przeglądania katalogów

W oświadczeniu na swojej stronie internetowej firma iThemes opisała lukę w zabezpieczeniach związaną z przeglądaniem katalogów jako wpływającą na działanie witryn internetowych Wersje BackupBuddy od 8.5.8.0 do 8.7.4.1. Wezwano użytkowników wtyczki do natychmiastowej aktualizacji do wersji BackupBuddy 8.75, nawet jeśli obecnie nie korzystają z wersji wtyczki podatnej na ataki.

„Ta luka może pozwolić osobie atakującej na przeglądanie zawartości dowolnego pliku na serwerze, który może zostać odczytany przez instalację WordPressa” – ostrzegł twórca wtyczki.

Alerty iThemes dostarczają wskazówek, w jaki sposób operatorzy witryn mogą ustalić, czy ich witryna została naruszona, oraz jakie kroki mogą podjąć, aby przywrócić bezpieczeństwo. Środki te obejmowały resetowanie hasła do bazy danych, zmianę ich Sole WordPressoraz rotację kluczy API i innych sekretów w pliku konfiguracyjnym witryny.

Wordfence twierdzi, że widziało osoby atakujące wykorzystujące tę lukę do prób odzyskania „wrażliwych plików, takich jak /wp-config.php i /etc/passwd, które można wykorzystać do dalszego skompromitowania ofiary”.

Bezpieczeństwo wtyczek WordPress: problem endemiczny

Usterka BackupBuddy to tylko jedna z tysięcy usterek, które zostały ujawnione w środowiskach WordPress – prawie wszystkie dotyczyły wtyczek – w ostatnich latach.

W raporcie z początku tego roku iThemes stwierdził, że zidentyfikował łącznie ujawniono 1,628 luk w zabezpieczeniach WordPress w 2021 r. — a ponad 97% z nich miało wpływ na wtyczki. Prawie połowa (47.1%) została oceniona jako ciężka lub krytyczna. I niepokojąco, 23.2% podatnych na ataki wtyczek nie miało znanej poprawki.

Szybkie skanowanie bazy danych National Vulnerability Database (NVD) przeprowadzone przez Dark Reading wykazało, że tylko w pierwszym tygodniu września ujawniono dotychczas kilkadziesiąt luk w zabezpieczeniach witryn WordPress.

Wtyczki podatne na ataki to nie jedyny problem witryn WordPress; Kolejnym problemem są złośliwe wtyczki. Zakrojone na szeroką skalę badanie ponad 400,000 XNUMX stron internetowych, które przeprowadzili naukowcy z Georgia Institute of Technology, ujawniło oszałamiającą liczbę 47,337 XNUMX szkodliwych wtyczek zainstalowany na 24,931 XNUMX stronach internetowych, większość z nich jest nadal aktywna.

Sounil Yu, CISO w JupiterOne, twierdzi, że ryzyko nieodłącznie związane ze środowiskami WordPress jest takie samo, jak ryzyko występujące w każdym środowisku, które wykorzystuje wtyczki, integracje i aplikacje innych firm w celu rozszerzenia funkcjonalności.

„Podobnie jak w przypadku smartfonów, takie komponenty innych firm rozszerzają możliwości produktu podstawowego, ale są również problematyczne dla zespołów ds. bezpieczeństwa, ponieważ znacznie zwiększają powierzchnię ataku podstawowego produktu” – wyjaśnia, dodając, że weryfikacja tych produktów również jest wyzwaniem ze względu na ich ogromną liczbę i brak jasnego pochodzenia.

„Zespoły ds. bezpieczeństwa stosują podstawowe podejście, najczęściej pobieżnie przyglądając się temu, co nazywam trzema P: popularnością, celem i uprawnieniami” – zauważa Yu. „Podobnie jak w przypadku sklepów z aplikacjami zarządzanych przez Apple i Google, rynki muszą przeprowadzić większą weryfikację, aby mieć pewność, że złośliwe [wtyczki, integracje i aplikacje innych firm] nie będą stwarzać problemów dla ich klientów” – zauważa.

Kolejnym problemem jest to, że podczas WordPress jest szeroko stosowanyczęsto zarządzają nim specjaliści od marketingu lub projektowania stron internetowych, a nie specjaliści od IT czy bezpieczeństwa, mówi Bud Broomhead, dyrektor generalny Viakoo.

„Instalacja jest łatwa, a usunięcie następuje po namyśle lub w ogóle się jej nie przeprowadza” – mówi Broomhead Dark Reading. „Podobnie jak powierzchnia ataku przesunęła się na IoT/OT/ICS, cyberprzestępcy atakują systemy niezarządzane przez dział IT, zwłaszcza te, które są powszechnie używane, takie jak WordPress”.

Broomhead dodaje: „Nawet jeśli WordPress wysyła powiadomienia o lukach w zabezpieczeniach wtyczek, priorytety inne niż bezpieczeństwo mogą opóźnić usunięcie złośliwych wtyczek”.