Miliony webů WordPress dostanou vynucenou aktualizaci, která opraví další chybu v pluginech

Miliony webů WordPress obdržely za poslední den vynucenou aktualizaci, která opravila kritickou zranitelnost v pluginu s názvem UpdraftPlus.

Povinná oprava přišla na žádost vývojářů UpdraftPlus kvůli závažnosti zranitelnosti a umožnila nedůvěryhodným předplatitelům, zákazníkům a dalším stahovat databázi webu, pokud mají účet na napadeném webu. Databáze často obsahují citlivé informace o zákaznících nebo nastavení zabezpečení webu, takže miliony webů jsou zranitelné vůči závažným únikům dat, při nichž unikají hesla, uživatelská jména, IP adresy a další.

Špatné výsledky, snadné zneužití

UpdraftPlus zjednodušuje proces zálohování a obnovy databází webových stránek a je nejrozšířenějším pluginem online plánovače pro redakční systém WordPress. Zjednodušuje zálohování dat na Dropbox, Google Drive, Amazon S3 a další cloudové služby. Jeho vývojáři také říkají, že umožňuje uživatelům plánovat pravidelné zálohování a je rychlejší a využívá méně serverových zdrojů než konkurenční pluginy WordPress.

„Tuto chybu lze velmi snadno zneužít, s některými velmi špatnými výsledky, pokud je zneužita,“ řekl Mark Monpass, bezpečnostní výzkumník, který zranitelnost objevil a informoval vývojáře pluginu. „Umožnil uživatelům s nízkým oprávněním stahovat zálohy stránek, které zahrnují nezpracované zálohy databází. Účty s nízkým oprávněním mohou znamenat spoustu věcí. Pravidelní předplatitelé, zákazníci (například na stránkách elektronického obchodu) atd.“

Monpass, výzkumník ve společnosti Website Security Company Skenování jetpacku, řekl, že objevil zranitelnost během bezpečnostního auditu pluginu a v úterý poskytl podrobnosti vývojářům UpdraftPlus. O den později vývojáři zveřejnili opravu a souhlasili s tím, že ji vynutí instalaci na weby WordPress, které měly nainstalovaný plugin.

Statistiky poskytuje WordPress.org Displeje Aktualizaci ve čtvrtek obdrželo 1,7 milionu stránek a v době tisku ji mělo nainstalováno více než 287 000 dalších. WordPress uvádí, že plugin má více než 3 miliony uživatelů.

Při odhalení zranitelnosti ve čtvrtek UpdraftPlus Napsal:

Tato chyba umožňuje jakémukoli uživateli přihlášenému k instalaci WordPress s aktivním UpdraftPlus uplatnit oprávnění ke stažení existující zálohy, toto oprávnění by mělo být omezeno pouze na administrátory. To bylo možné kvůli ztrátě oprávnění ke kontrole kódu souvisejícího s kontrolou aktuálního stavu zálohy. To umožnilo získat interní identifikátor, který byl jinak neznámý a který by pak mohl být použit k předání ověřovacího procesu na povolení stahování.

To znamená, že pokud váš web WordPress umožňuje nedůvěryhodným uživatelům přihlásit se do WordPress a pokud máte nějakou existující zálohu, pravděpodobně budete zranitelní vůči technicky zdatnému uživateli, který zjišťuje, jak stáhnout vaši aktuální zálohu. Dotčeným webům hrozí ztráta dat/odcizení dat útočníkem, který přistupuje ke kopii zálohy vašeho webu, pokud váš web obsahuje něco, co není veřejné. Říkám „technicky zručný“, protože v tomto bodě nebyl podán žádný obecný důkaz o tom, jak využít tohoto exploitu. V tuto chvíli se při řešení tohoto problému spoléháte na hackera, který provádí zpětné inženýrství změn v nejnovější verzi UpdraftPlus. Rozhodně však na tuto časově náročnou záležitost nespoléhejte, ale aktualizujte okamžitě. Pokud jste jediným uživatelem na svém webu WordPress nebo pokud jsou všichni vaši uživatelé důvěryhodní, nejste ohroženi, ale přesto doporučujeme aktualizaci v každém případě.