WordPress插件爆RCE漏洞,70万网站曝险,已有黑客发动攻击

WordPress插件出现重大零时差漏洞,而且这次黑客发现得更早。芬兰Wordpress网站托管公司Seravo本周发现黑客正在针对WP File Manager一项远程程序代码执行(RCE)漏洞对多家网站发动攻击。

Servavo侦测到,多家Wordpress网站客户出现异常活动。经过分析,攻击者是开采Wordpress插件WP File Manager中的漏洞。同一时间,另一家安全公司Wordfence也侦测到攻击活动。这项漏洞可使成功开采的攻击者上传任意文件并远程执行程序代码。

WP File Manager是让Wordpress管理员管理站上文件的插件,目前有超过70万个Wordpress网站安装这个插件。

Wordfence解释,问题出在WP File Manager和核心组件elFinder函数库之间,其中File Manger将函数库连接器文件(connector.minimal.php.dist)文件扩展名改成了.php,以便可以直接执行。这个连接器文件(connector.minimal.php.dist)并未设访问限制,表示任何人都可以访问,用来发出elFinder指令,并送到elFinder的连接器文件(elFinderConnector.class.php)处理。因此只要对connector.minimal.php.dist发出调用,其中的参数即可交给后者处理。研究人员新发现的攻击,就是利用upload指令上传包含可执行程序的webshell的PHP档送入WP File Manager的目录中。

结果就是攻击者可以执行任何文件,视其目的而定,可以窃取网站资料、破坏网站或利用WordPress网站对其他网站,或是底层基础架构执行另一波攻击。该漏洞CVSS风险评分为最高等级的10.0。

受影响的版本涵盖WP File Manager 6.0-6.8版。经过通报后,WP File Manager开发团队已经发布修补漏洞的6.9版。

但Wordfence提醒,像File Manager这类工具插件使用起来要特别留意,因为它能让攻击者修改或上传任何文件到WordPress管理员接口,可能引发严重事件,像是攻击者可利用外泄的密码访问管理账号,修改插件程序,上传webshell程序,进而对服务器执行枚举分析(enumeration),或是以其他攻击程序来扩大损害。因此安全公司建议,没在使用时最好移除这类工具插件。

发表评论