Milhões de websites WordPress receberam uma atualização forçada para corrigir um malicious program sério

Milhões de WordPress websites receberam uma atualização forçada no último dia para corrigir uma vulnerabilidade crítica em um plugin chamado UpdraftPlus.

O patch obrigatório veio a pedido dos desenvolvedores do UpdraftPlus devido à gravidade do vulnerabilidade, que permite que assinantes, clientes e outros não confiáveis ​​baixem o banco de dados privado do web page, desde que tenham uma conta no web page vulnerável. Os bancos de dados geralmente incluem informações confidenciais sobre clientes ou configurações de segurança do web page, deixando milhões de websites suscetíveis a graves violações de dados que espalham senhas, nomes de usuário, endereços IP e muito mais.

Resultados ruins, fáceis de explorar

O UpdraftPlus simplifica o processo de backup e restauração de bancos de dados de websites e é o plug-in de backup agendado mais usado da Web para o sistema de gerenciamento de conteúdo do WordPress. Ele simplifica o backup de dados para Dropbox, Google Power, Amazon S3 e outros serviços em nuvem. Seus desenvolvedores dizem que também permite que os usuários agendem backups regulares e é mais rápido e united states of america menos recursos do servidor do que os plugins concorrentes do WordPress.

“Este malicious program é muito fácil de explorar, com alguns resultados muito ruins se for explorado”, disse Marc Montpas, o pesquisador de segurança que descobriu a vulnerabilidade e a relatou em explicit aos desenvolvedores do plug-in. “Isso possibilitou que usuários com poucos privilégios baixassem os backups de um web page, que incluem backups de banco de dados brutos. Contas de baixo privilégio podem significar muitas coisas. Assinantes regulares, clientes (em websites de comércio eletrônico, por exemplo), and many others.”

Montpas, pesquisador da empresa de segurança de websites Jet, disse que encontrou a vulnerabilidade durante uma auditoria de segurança do plugin e forneceu detalhes aos desenvolvedores do UpdraftPlus na terça-feira. Um dia depois, os desenvolvedores publicaram uma correção e concordaram em forçar a instalação em websites WordPress que tinham o plugin instalado.

Estatísticas fornecidas pelo WordPress.org exposição que 1,7 milhão de websites receberam a atualização na quinta-feira e mais de 287.000 a instalaram até o momento. O WordPress diz que o plugin tem mais de 3 milhões de usuários.

Ao divulgar a vulnerabilidade na quinta-feira, UpdraftPlus escrevi:

Esse defeito permite que qualquer usuário logado em uma instalação do WordPress com o UpdraftPlus ativo exerça o privilégio de baixar um backup existente, privilégio que deveria ser restrito apenas a usuários administrativos. Isso foi possível devido a uma verificação de permissões ausente no código relacionado à verificação do standing atual do backup. Isso permitiu a obtenção de um identificador interno que de outra forma generation desconhecido e poderia então ser usado para passar uma verificação de permissão para obtain.

Isso significa que, se o seu web page WordPress permitir que usuários não confiáveis ​​tenham um login do WordPress e se você tiver algum backup existente, estará potencialmente vulnerável a um usuário tecnicamente qualificado que descubra como fazer o obtain do backup existente. Os websites afetados correm o risco de perda/roubo de dados por meio do invasor acessar uma cópia do backup do seu web page, se o seu web page contiver algo não público. Digo “tecnicamente habilidoso” porque, nesse ponto, nenhuma prova pública de como aproveitar essa exploração foi feita. Neste momento, ele depende de um hacker de engenharia reversa das alterações na versão mais recente do UpdraftPlus para resolver isso. No entanto, você certamente não deve confiar que isso demora muito, mas deve atualizar imediatamente. Se você é o único usuário em seu web page WordPress, ou se todos os seus usuários são confiáveis, então você não está vulnerável, mas ainda assim recomendamos a atualização em qualquer caso.

Hackers ouvem os batimentos cardíacos

No dele própria divulgação, Montpas disse que a vulnerabilidade resultou de várias falhas. A primeira foi no Implementação do UpdraftPlus da função de pulsação do WordPress. O UpdraftPlus não validou corretamente que os usuários que enviaram solicitações tinham privilégios administrativos. Isso representou um problema sério porque a função busca uma lista de todos os trabalhos de backup ativos e a knowledge do último backup do web page. Incluído nesses dados está o nonce personalizado que o plug-in usou para proteger os backups.

“Um invasor pode, assim, criar uma solicitação maliciosa visando esse retorno de chamada de pulsação para obter acesso a informações sobre o backup mais recente do web page até o momento, que conterá, entre outras coisas, o nonce de um backup”, escreveu Montpas.