Egy új WordPress plug-in kihasználja több ezer weboldalt veszélyezteti

Az elmúlt napokban a támadók kihasználják a WP Mobile Detector, a WordPress beépülő modulját, amely több mint 10 000 webhelyen van telepítve.

a fejlesztő javította a hibát kedden a 3.6-es verzióban, de a frissítés azonnali frissítése mellett a felhasználóknak ellenőrizniük kell, hogy a webhelyek még nem lettek-e feltörve.

A biztonsági rés egy resize.php parancsfájlban található, és lehetővé teszi a távoli támadók tetszőleges fájlok feltöltése a webszerverre. Ezek a fájlok lehetnek olyan backdoor scriptek, amelyek webkollékként ismeretesek, és amelyek a támadók számára hátsó hozzáférést biztosítanak a kiszolgálóhoz, és képesek a kódot legitim oldalakon injektálni.

[További olvasmány: Hogyan távolítsunk el rosszindulatú programokat Windows számítógépről]

A hiba a WordPress biztonsági apparátusa a PluginVulnerabilities.com felfedezte, miután megfigyelte a wp-content / plugins / wp-mobile-detector / resize.php kéréseket, annak ellenére, hogy nem létezett a kiszolgálón. Ez azt jelezte, hogy valaki automatizált vizsgálatot indított az adott fájl számára, valószínűleg azért, mert hibája volt.

A Sucuri webes biztonsági cég kutatói elemezték a vállalat tűzfalnaplóit és felfedezték a kizsákmányolási kísérleteket május 4-től, négy nappal a javítás előtt szabadítani. Lehetséges, hogy a támadók még azelőtt is tudtak a kizsákmányolásról.

A WP Mobile Detector, amelyet nem szabad összetéveszteni egy másik, nem érintett plugin-val, a WP Mobile Detect alkalmazásával, kezdetben több mint 10 000 aktív telepítést használt május. Jelenleg körülbelül 2000, de a kizsákmányolás felfedezése után a plug-in rövid ideig eltávolításra került a WordPress.org plug-inek könyvtárából.

A Plugin Vulnerabilities szerint van egy korlátozó tényező: annak érdekében, hogy ez a hiba kihasználható, engedélyezni kell a allow_url_fopen funkciót a kiszolgálón.

Mivel nem világos, hogy hány webhelyet feltörtek, jó ötlet a WordPress webhelytulajdonosainak, akik ezt a plug-inet használják, hogy ellenőrizzék a szervereiket a kompromisszum jeleire.

"Jelen pillanatban a sebezhető webhelyek többsége fertőzött pornó spam ajtókkal" - nyilatkozta Douglas Santos, a Sucuri kutató. "Általában megtalálhatja a gopni3g könyvtárat a webhely gyökérében, amely a story.php (doorway generator script), a hhtaccess és a spammy fájlok és sablonok alkönyvtárait tartalmazza."