Злоумышленники используют уязвимость плагина Zero-Day WordPress в BackupBuddy

Злоумышленники активно используют критическую уязвимость в BackupBuddy, плагине WordPress, который используют около 140,000 XNUMX веб-сайтов для резервного копирования своих установок.

Уязвимость позволяет злоумышленникам читать и загружать произвольные файлы с уязвимых веб-сайтов, в том числе содержащие информацию о конфигурации и конфиденциальные данные, такие как пароли, которые можно использовать для дальнейшей компрометации.

Поставщик средств защиты WordPress Wordfence сообщил о наблюдении за атаками, нацеленными на уязвимость, начиная с 26 августа. заблокировал около 5 миллионов атак с того времени. Разработчик плагина, компания iThemes, выпустила исправление уязвимости 2 сентября, более чем через неделю после начала атак. Это повышает вероятность того, что по крайней мере некоторые сайты WordPress, использующие программное обеспечение, были скомпрометированы до того, как стало доступно исправление для этой уязвимости.

Ошибка обхода каталога

В заявлении на своем веб-сайте iThemes описала уязвимость обхода каталога как воздействующую на работающие веб-сайты. Версии BackupBuddy с 8.5.8.0 по 8.7.4.1. Он призвал пользователей подключаемого модуля немедленно обновить BackupBuddy до версии 8.75, даже если в настоящее время они не используют уязвимую версию подключаемого модуля.

«Эта уязвимость может позволить злоумышленнику просмотреть содержимое любого файла на вашем сервере, который может быть прочитан вашей установкой WordPress», — предупредил производитель плагина.

Оповещения iThemes предоставили руководство о том, как операторы сайтов могут определить, был ли их веб-сайт скомпрометирован, и какие шаги они могут предпринять для восстановления безопасности. Эти меры включали сброс пароля базы данных, изменение их Соли WordPress, а также чередование ключей API и других секретов в файле конфигурации сайта.

Wordfence заявила, что видела, как злоумышленники использовали уязвимость, чтобы попытаться получить «конфиденциальные файлы, такие как файлы /wp-config.php и /etc/passwd, которые можно использовать для дальнейшей компрометации жертвы».

Безопасность подключаемых модулей WordPress: повсеместная проблема

Уязвимость BackupBuddy — лишь одна из тысяч уязвимостей, обнаруженных в средах WordPress — почти все они связаны с подключаемыми модулями — за последние годы.

В отчете ранее в этом году iThemes сообщила, что выявила в общей сложности 1,628 раскрытых уязвимостей WordPress в 2021 году — и более 97% из них затронули плагины. Почти половина (47.1%) были оценены как тяжелые или критические. И тревожно, 23.2% уязвимых плагинов не имели известных исправлений..

Быстрое сканирование Национальной базы данных уязвимостей (NVD) компанией Dark Reading показало, что только за первую неделю сентября было обнаружено несколько десятков уязвимостей, затрагивающих сайты WordPress.

Уязвимые плагины — не единственная проблема для сайтов WordPress; вредоносные плагины - еще одна проблема. Крупномасштабное исследование более 400,000 XNUMX веб-сайтов, проведенное исследователями из Технологического института Джорджии, выявило ошеломляющие 47,337 XNUMX вредоносных плагинов установлен на 24,931 XNUMX веб-сайте, большинство из которых все еще активны.

Сунил Ю, директор по информационной безопасности JupiterOne, говорит, что риски, присущие средам WordPress, аналогичны рискам, присутствующим в любой среде, которая использует плагины, интеграции и сторонние приложения для расширения функциональности.

«Как и в случае со смартфонами, такие сторонние компоненты расширяют возможности основного продукта, но они также создают проблемы для групп безопасности, поскольку значительно увеличивают поверхность атаки основного продукта», — объясняет он, добавляя, что проверка этих продуктов также является сложной задачей. из-за их огромного количества и отсутствия четкого происхождения.

«Команды безопасности используют рудиментарные подходы, чаще всего бегло рассматривая то, что я называю тремя Ps: популярность, цель и разрешения», — отмечает Ю. «Как и в случае с магазинами приложений, управляемыми Apple и Google, торговые площадки должны проводить дополнительную проверку, чтобы убедиться, что вредоносные [плагины, интеграции и сторонние приложения] не создают проблем для их клиентов», — отмечает он.

Другая проблема заключается в том, что пока Вордпресс широко используется, им часто управляют специалисты по маркетингу или веб-дизайну, а не специалисты по информационным технологиям или безопасности, — говорит Бад Брумхед, генеральный директор Viakoo.

«Установка проста, а удаление — это задним числом или никогда не делается», — говорит Брумхед Dark Reading. «Подобно тому, как поверхность атаки переместилась на IoT/OT/ICS, злоумышленники нацелены на системы, не управляемые ИТ, особенно на такие широко используемые, как WordPress».

Брумхед добавляет: «Даже несмотря на то, что WordPress выдает предупреждения о том, что плагины являются уязвимостями, другие приоритеты, кроме безопасности, могут задержать удаление вредоносных плагинов».