Bilgisayar korsanları, milyonlarca sitenin tam kontrolünü sağlayan WordPress eklenti kusurundan yararlanır

Araştırmacılar, bilgisayar korsanlarının, milyonlarca sitenin tam kontrolünü ele geçirmelerini sağlayan, yaygın olarak kullanılan bir WordPress eklentisindeki kritik bir güvenlik açığından aktif olarak yararlandığını söyledi.

Olası 10 üzerinden 8,8 önem derecesi taşıyan güvenlik açığı, Elementor Pro’da mevcut. premium eklenti WordPress içerik yönetim sistemi tarafından desteklenen 12 milyondan fazla sitede çalışıyor. Elementor Pro, kullanıcıların çok çeşitli araçlar kullanarak yüksek kaliteli web siteleri oluşturmasına olanak tanır; bunlardan biri, ayrı bir WordPress eklentisi olan WooCommerce’dir. Bu koşullar karşılandığında, sitede hesabı olan herkes (örneğin bir abone veya müşteri), tam yönetici ayrıcalıklarına sahip yeni hesaplar oluşturabilir.

Güvenlik açığı, güvenlik firması NinTechNet’te araştırmacı olan Jerome Bruandet tarafından keşfedildi. Geçtiğimiz hafta Elementor Pro eklentisinin geliştiricisi Elementor, piyasaya sürülmüş kusuru gideren sürüm 3.11.7. İçinde postalamak Salı günü yayınlanan Bruandet şunları yazdı:

Kimliği doğrulanmış bir saldırgan, kaydı etkinleştirerek bir yönetici hesabı oluşturmak için bu güvenlik açığından yararlanabilir (users_can_register) ve varsayılan rolü ayarlama (default_role) “yönetici” olarak değiştirin, yönetici e-posta adresini (admin_email) veya aşağıda gösterildiği gibi değiştirerek tüm trafiği harici bir kötü amaçlı web sitesine yönlendirin siteurl diğer birçok olasılık arasında:

MariaDB [example]> SELECT * FROM `wp_options` WHERE `option_name`='siteurl';
+-----------+-------------+------------------+----------+
| option_id | option_name | option_value     | autoload |
+-----------+-------------+------------------+----------+
|		 1 | siteurl     | https://evil.com | yes 	 |
+-----------+-------------+------------------+----------+
1 row in set (0.001 sec)

Artık ayrı bir güvenlik firması olan PatchStack’e sahip araştırmacılar, rapor güvenlik açığının etkin kullanım altında olduğunu. Saldırılar, aşağıdakiler de dahil olmak üzere çeşitli IP adreslerinden geliyor:

• 193.169.194.63
• 193.169.195.64
• 194.135.30.6

Güvenliği ihlal edilmiş sitelere yüklenen dosyalar genellikle aşağıdaki adlara sahiptir:

• wp-resortpack.zip
• wp-rate.php
• lll.zip

Güvenliği ihlal edilmiş sitelerin URL’leri genellikle şu şekilde değiştirilmektedir:

• uzak[dot]izci hattı[dot]iletişim

Bozuk erişim denetimi güvenlik açığı, Elementor Pro’nun “elementor-pro/modules/woocommerce/module.php” bileşenini kullanmasından kaynaklanmaktadır. WooCommerce çalışırken, bu betik aşağıdaki AJAX eylemlerini kaydeder:

/**
 * Register Ajax Actions.
 *
 * Registers ajax action used by the Editor js.
 *
 * @since 3.5.0
 *
 * @param Ajax $ajax
 */
public function register_ajax_actions( Ajax $ajax ) {
   // `woocommerce_update_page_option` is called in the editor save-show-modal.js.
   $ajax->register_ajax_action( 'pro_woocommerce_update_page_option', [ $this, 'update_page_option' ] );
   $ajax->register_ajax_action( 'pro_woocommerce_mock_notices', [ $this, 'woocommerce_mock_notices' ] );
}

Ve

/**
 * Update Page Option.
 *
 * Ajax action can be used to update any WooCommerce option.
 *
 * @since 3.5.0
 *
 * @param array $data
 */
public function update_page_option( $data ) {
   update_option( $data['option_name'], $data['editor_post_id'] );
}

Bruandet, update_option işlevinin “Yöneticinin veya Mağaza Yöneticisinin bazı belirli WooCommerce seçeneklerini güncellemesine izin vermesi gerekiyor, ancak kullanıcı girişi doğrulanmadı ve işlevin erişimini yalnızca yüksek ayrıcalıklı bir kullanıcıyla kısıtlamak için bir yetenek kontrolünden yoksun,” diye açıkladı Bruandet. O devam etti:

Elementor, aşağıdakiler de dahil olmak üzere AJAX eylemlerinin çoğunu yönetmek için kendi AJAX işleyicisini kullanır. pro_woocommerce_update_page_optionküresel ile elementor_ajax aksiyon. Ücretsiz sürümün (Elementor Pro’yu çalıştırmak için gerekli olan) “elementor/core/common/modules/ajax/module.php” komut dosyasında bulunur:

/**
 * Handle ajax request.
 *
 * Verify ajax nonce, and run all the registered actions for this request.
 *
 * Fired by `wp_ajax_elementor_ajax` action.
 *
 * @since 2.0.0
 * @access public
 */
public function handle_ajax_request() {
   if ( ! $this->verify_request_nonce() ) {
  	$this->add_response_data( false, esc_html__( 'Token Expired.', 'elementor' ) )
     	->send_error( Exceptions::UNAUTHORIZED );
   }
   ...

Önceki tüm sürümler savunmasız olduğundan, Elementor Pro kullanan herkes 3.11.7 veya üstünü çalıştırdığından emin olmalıdır. Bu kullanıcıların PatchStack gönderisinde listelenen enfeksiyon belirtileri için sitelerini kontrol etmeleri de iyi bir fikirdir.