Atacatorii exploatează vulnerabilitatea la pluginul WordPress Zero Day în BackupBuddy

Atacatorii exploatează în mod activ o vulnerabilitate critică în BackupBuddy, un plugin WordPress pe care se estimează că 140,000 de site-uri web îl folosesc pentru a-și face copii de siguranță ale instalărilor.

Vulnerabilitatea permite atacatorilor să citească și să descarce fișiere arbitrare de pe site-urile web afectate, inclusiv cele care conțin informații de configurare și date sensibile, cum ar fi parole, care pot fi folosite pentru compromisuri suplimentare.

Furnizorul de securitate WordPress Wordfence a raportat că a observat atacuri care vizează defectul începând cu 26 august și a spus că a a blocat aproape 5 milioane de atacuri de atunci. Dezvoltatorul plug-in-ului, iThemes, a lansat un patch pentru defect pe 2 septembrie, la mai bine de o săptămână după începerea atacurilor. Asta ridică posibilitatea ca cel puțin unele site-uri WordPress care utilizează software-ul să fi fost compromise înainte ca o remediere să devină disponibilă pentru vulnerabilitate.

O eroare de traversare a directorului

Într-o declarație pe site-ul său, iThemes a descris vulnerabilitatea de traversare a directorului ca având un impact asupra site-urilor care rulează BackupBuddy versiunile 8.5.8.0 până la 8.7.4.1. Acesta a îndemnat utilizatorii plug-in-ului să actualizeze imediat la versiunea 8.75 de BackupBuddy, chiar dacă în prezent nu folosesc o versiune vulnerabilă a plug-in-ului.

„Această vulnerabilitate ar putea permite unui atacator să vadă conținutul oricărui fișier de pe serverul tău care poate fi citit de instalarea ta WordPress”, a avertizat producătorul de pluginuri.

Alertele iThemes au oferit îndrumări despre modul în care operatorii site-ului pot determina dacă site-ul lor a fost compromis și pașii pe care îi pot lua pentru a restabili securitatea. Aceste măsuri au inclus resetarea parolei bazei de date, schimbarea acestora Săruri WordPress, și rotirea cheilor API și a altor secrete în fișierul lor de configurare a site-ului.

Wordfence a spus că a văzut atacatori folosind defectul pentru a încerca să recupereze „fișierele sensibile, cum ar fi fișierele /wp-config.php și /etc/passwd, care pot fi folosite pentru a compromite și mai mult o victimă”.

Securitatea pluginului WordPress: o problemă endemică

Defectul BackupBuddy este doar unul dintre miile de defecte care au fost dezvăluite în mediile WordPress - aproape toate implicând pluginuri - în ultimii ani.

Într-un raport de la începutul acestui an, iThemes a spus că a identificat un total de 1,628 de vulnerabilități WordPress dezvăluite în 2021 - și mai mult de 97% dintre aceștia au afectat plug-in-urile. Aproape jumătate (47.1%) au fost evaluate ca fiind de severitate ridicată până la critică. Și tulburător, 23.2% dintre plug-in-urile vulnerabile nu au avut nicio soluție cunoscută.

O scanare rapidă a bazei de date naționale de vulnerabilități (NVD) de către Dark Reading a arătat că câteva zeci de vulnerabilități care afectează site-urile WordPress au fost dezvăluite până acum doar în prima săptămână a lunii septembrie.

Plug-in-urile vulnerabile nu sunt singura preocupare pentru site-urile WordPress; pluginurile rău intenționate sunt o altă problemă. Un studiu la scară largă pe peste 400,000 de site-uri web pe care cercetătorii de la Institutul de Tehnologie din Georgia le-au efectuat a descoperit o 47,337 de pluginuri rău intenționate instalat pe 24,931 de site-uri web, majoritatea încă active.

Sounil Yu, CISO la JupiterOne, spune că riscurile inerente mediilor WordPress sunt ca cele prezente în orice mediu care folosește plug-in-uri, integrări și aplicații terțe pentru a extinde funcționalitatea.

„Ca și în cazul smartphone-urilor, astfel de componente terță parte extind capacitățile produsului de bază, dar sunt și problematice pentru echipele de securitate, deoarece măresc semnificativ suprafața de atac a produsului de bază”, explică el, adăugând că verificarea acestor produse este, de asemenea, o provocare. din cauza numărului lor mare și a lipsei de proveniență clară.

„Echipele de securitate au abordări rudimentare, oferind cel mai adesea o privire superficială asupra a ceea ce eu numesc cei trei P: popularitate, scop și permisiuni”, notează Yu. „La fel ca magazinele de aplicații gestionate de Apple și Google, piețele trebuie să efectueze mai multe verificări pentru a se asigura că [plug-in-urile, integrările și aplicațiile terțe] nu creează probleme clienților lor”, notează el.

O altă problemă este că în timp ce WordPress este utilizat pe scară largă, este adesea gestionat de profesioniști în marketing sau web-design și nu de profesioniști în IT sau securitate, spune Bud Broomhead, CEO la Viakoo.

„Instalarea este ușoară, iar dezinstalarea este o idee ulterioară sau nu se face niciodată”, spune Broomhead pentru Dark Reading. „La fel cum suprafața de atac s-a mutat către IoT/OT/ICS, actorii amenințărilor vizează sisteme care nu sunt gestionate de IT, în special cele care sunt utilizate pe scară largă precum WordPress.”

Broomhead adaugă: „Chiar și în cazul în care WordPress emite alerte despre care plug-in-urile sunt vulnerabilități, alte priorități decât securitatea pot întârzia eliminarea plug-in-urilor rău intenționate.”