Cümleyi Yeniden Yazın Hacker’lar SEO Dostu Kısa Başlık Olarak Milyonlarca Sitenin Tam Kontrolünü Sağlayan WordPress Eklenti Kusurundan Yararlanıyor

Getty Resimleri

Araştırmacılar, bilgisayar korsanlarının, milyonlarca sitenin tam kontrolünü ele geçirmelerini sağlayan, yaygın olarak kullanılan bir WordPress eklentisindeki kritik bir güvenlik açığından aktif olarak yararlandığını söyledi.

Olası 10 üzerinden 8,8 önem derecesi taşıyan güvenlik açığı, WordPress içerik yönetim sistemi tarafından desteklenen 12 milyondan fazla sitede çalışan premium bir eklenti olan Elementor Pro’da bulunuyor. Elementor Pro, kullanıcıların çok çeşitli araçlar kullanarak yüksek kaliteli web siteleri oluşturmasına olanak tanır; bunlardan biri, ayrı bir WordPress eklentisi olan WooCommerce’dir. Bu koşullar karşılandığında, sitede hesabı olan herkes (örneğin bir abone veya müşteri), tam yönetici ayrıcalıklarına sahip yeni hesaplar oluşturabilir.

Güvenlik açığı, güvenlik firması NinTechNet’te araştırmacı olan Jerome Bruandet tarafından keşfedildi. Geçen hafta, Elementor Pro eklentisinin geliştiricisi Elementor, kusuru gideren 3.11.7 sürümünü yayınladı. Salı günü yayınlanan bir gönderide Bruandet şunları yazdı:

Kimliği doğrulanmış bir saldırgan, kaydı etkinleştirerek (users_can_register) ve varsayılan rolü (default_role) “yönetici” olarak ayarlayarak, yönetici e-posta adresini (admin_email) değiştirerek veya aşağıda gösterildiği gibi tüm trafiği bir diğer birçok olasılık arasında siteurl’yi değiştirerek harici kötü amaçlı web sitesi:

MariaDB [example]> `wp_options`DAN * SEÇİN WHERE `option_name`=’siteurl’;
+———–+————-+——————+———-+
| seçenek_kimliği | seçenek_adı | seçenek_değeri | otomatik yükleme |
+———–+————-+——————+———-+
| 1 | siteurl | | evet |
+———–+————-+——————+———-+
Sette 1 satır (0,001 sn)

Şimdi, ayrı bir güvenlik firması olan PatchStack’e sahip araştırmacılar, güvenlik açığının aktif olarak kullanıldığını bildiriyor. Saldırılar, aşağıdakiler de dahil olmak üzere çeşitli IP adreslerinden geliyor:

Reklamcılık

• 193.169.194.63
• 193.169.195.64
• 194.135.30.6

Güvenliği ihlal edilmiş sitelere yüklenen dosyalar genellikle aşağıdaki adlara sahiptir:

• wp-resortpack.zip
• wp-rate.php
• lll.zip

Güvenliği ihlal edilmiş sitelerin URL’leri genellikle şu şekilde değiştirilmektedir:

• uzak[dot]izci hattı[dot]iletişim

Bozuk erişim denetimi güvenlik açığı, Elementor Pro’nun “elementor-pro/modules/woocommerce/module.php” bileşenini kullanmasından kaynaklanmaktadır. WooCommerce çalışırken, bu betik aşağıdaki AJAX eylemlerini kaydeder:

/**
* Ajax Eylemlerini Kaydedin.
*
* Editor js tarafından kullanılan ajax eylemini kaydeder.
*
* @3.5.0’dan beri
*
* @param Ajax $ajax
*/
genel işlev register_ajax_actions( Ajax $ajax ) {
// “woocommerce_update_page_option”, save-show-modal.js düzenleyicisinde çağrılır.
$ajax->register_ajax_action( ‘pro_woocommerce_update_page_option’, [ $this, ‘update_page_option’ ] );
$ajax->register_ajax_action( ‘pro_woocommerce_mock_notices’, [ $this, ‘woocommerce_mock_notices’ ] );
}

Ve

/**
* Güncelleme Sayfası Seçeneği.
*
* Ajax eylemi, herhangi bir WooCommerce seçeneğini güncellemek için kullanılabilir.
*
* @3.5.0’dan beri
*
* @param dizisi $veri
*/
genel işlev update_page_option( $data ) {
update_option( $veri[‘option_name’]$veri[‘editor_post_id’] );
}

Bruandet, update_option işlevinin “Yöneticinin veya Mağaza Yöneticisinin bazı belirli WooCommerce seçeneklerini güncellemesine izin vermesi gerekiyor, ancak kullanıcı girişi doğrulanmadı ve işlev, erişimini yalnızca yüksek ayrıcalıklı bir kullanıcıyla kısıtlamak için bir yetenek kontrolünden yoksun,” diye açıkladı Bruandet. O devam etti:

Elementor, global elementor_ajax eylemiyle pro_woocommerce_update_page_option dahil AJAX eylemlerinin çoğunu yönetmek için kendi AJAX işleyicisini kullanır. Ücretsiz sürümün (Elementor Pro’yu çalıştırmak için gerekli olan) “elementor/core/common/modules/ajax/module.php” komut dosyasında bulunur:

/**
* Ajax isteğini işleyin.
*
* Ajax’ı nonce doğrulayın ve bu istek için kayıtlı tüm eylemleri çalıştırın.
*
* “wp_ajax_elementor_ajax” eylemiyle tetiklenir.
*
* @2.0.0’dan beri
* @erişim herkese açık
*/
genel işlev handle_ajax_request() {
if ( ! $this->verify_request_nonce() ) {
$this->add_response_data( false, esc_html__( ‘Token Expired.’, ‘elementor’ ) )
->send_error( İstisnalar::YETKİSİZ );
}
…

Önceki tüm sürümler savunmasız olduğundan, Elementor Pro kullanan herkes 3.11.7 veya üstünü çalıştırdığından emin olmalıdır. Bu kullanıcıların PatchStack gönderisinde listelenen enfeksiyon belirtileri için sitelerini kontrol etmeleri de iyi bir fikirdir.