اكتشف باحث أمني في Automattic ثغرة تؤثر على المكون الإضافي الشهير للنسخ الاحتياطي في WordPress ، UpdraftPlus. سمحت الثغرة الأمنية للمتسللين بتنزيل أسماء المستخدمين وكلمات المرور المجزأة. وتطلق شركة Automattic على هذا “ثغرة خطيرة”.
UpdraftPlus WordPress Backup Plugin
UpdraftPlus هو مكون إضافي مشهور للنسخ الاحتياطي في WordPress يتم تثبيته بنشاط على أكثر من 3 ملايين موقع ويب.
يسمح المكون الإضافي لمسؤولي WordPress بالنسخ الاحتياطي لعمليات تثبيت WordPress الخاصة بهم بما في ذلك قاعدة البيانات الكاملة التي تحتوي على بيانات اعتماد المستخدم وكلمات المرور والمعلومات الحساسة الأخرى.
يعتمد الناشرون على UpdraftPlus للحفاظ على أعلى معايير الأمان في المكون الإضافي الخاص بهم نظرًا لحساسية البيانات المحفوظة مع المكون الإضافي.
ضعف UpdraftPlus
تم اكتشاف الثغرة الأمنية من خلال تدقيق أجراه باحث أمني في Jetpack الخاص بشركة Automattic.
اكتشفوا اثنين من نقاط الضعف غير المعروفة سابقًا.
كان الأول متعلقًا بكيفية تسريب رموز أمان UpdraftPlus التي تسمى nonces. سمح هذا للمهاجم بالحصول على النسخة الاحتياطية بما في ذلك nonce.
وفقًا لـ WordPress ، لا يُقصد من nonces أن تكون خط الدفاع الأساسي ضد المتسللين. تنص صراحةً على أنه يجب حماية الوظائف من خلال التحقق بشكل صحيح من صحة الشخص الذي لديه بيانات الاعتماد الصحيحة (باستخدام الوظيفة التي تسمى current_user_can ()).
“لا ينبغي أبدًا الاعتماد على nonces للمصادقة أو التفويض أو التحكم في الوصول. قم بحماية وظائفك باستخدام current_user_can () وافترض دائمًا أنه يمكن اختراق nonces. »
كانت الثغرة الثانية تتعلق بالتحقق غير المناسب من دور المستخدم المسجل ، وهو بالضبط ما يحذر WordPress المطورين من أنه يجب عليهم اتخاذ خطوات لإغلاق المكونات الإضافية.
سمح التحقق غير المناسب من دور المستخدم لشخص لديه بيانات من الثغرة الأمنية السابقة بتنزيل إحدى النسخ الاحتياطية ، والتي تحتوي بالطبع على معلومات حساسة.
يصفها Jetpack:
“لسوء الحظ ، فإن طريقة UpdraftPlus_Admin :: might_download_backup_from_email ، المرتبطة بـ admin_init ، لم تتحقق بشكل مباشر من أدوار المستخدم.
على الرغم من أنها طبقت بعض عمليات التحقق بشكل غير مباشر ، مثل التحقق من المتغير العام $ pagenow ، فقد أظهرت الأبحاث السابقة أن هذا المتغير يمكن أن يحتوي على مدخلات مستخدم عشوائية.
يمكن للممثلين السيئين استخدام نقطة النهاية هذه لتنزيل نُسخ احتياطية من الملفات وقاعدة البيانات بناءً على المعلومات التي تم تسريبها من خطأ نبضات القلب المذكور أعلاه.
تحذر قاعدة بيانات الثغرات الأمنية الوطنية التابعة لحكومة الولايات المتحدة من أن UpdraftPlus فشل في “… التحقق بشكل صحيح من أن المستخدم لديه الامتيازات المطلوبة للوصول إلى معرّف nonce للنسخة الاحتياطية ، مما قد يسمح لأي مستخدم لديه حساب على الموقع (مثل المشترك) بالتنزيل أحدث نسخة احتياطية للموقع وقاعدة البيانات.
تحديثات WordPress الإجبارية من UpdraftPlus
كانت الثغرة الأمنية شديدة لدرجة أن WordPress اتخذ خطوة غير عادية لفرض التحديثات التلقائية على جميع التثبيتات التي لم تقم بعد بتحديث UpdraftPlus إلى أحدث إصدار.
لكن من المستحسن أن يفترض الناشرون أنه تم تحديث التثبيت الخاص بهم.
إصدارات UpdraftPlus تتأثر
الإصدارات المجانية من UpdraftPlus قبل 1.22.3 والإصدارات المتميزة من UpdraftPlus قبل 2.22.3 عرضة للهجوم.
يوصى بأن يتحقق الناشرون من أنهم يستخدمون أحدث إصدار من UpdraftPlus.
يقتبس
اقرأ إعلان Jetpack
تم إصلاح ثغرة خطيرة في UpdraftPlus 1.22.3
اقرأ إعلان UpdraftPlus
إصدار أمان UpdraftPlus – 1.22.3 / 2.22.3 – الرجاء الترقية
اقرأ وثائق الحكومة الأمريكية حول الثغرة الأمنية
#تأثرت #ثغرة #البرنامج #المساعد #للنسخ #الاحتياطي #في #WordPress #بأكثر #من #ملايين #تثبيت
المصدر
تعليقات
إرسال تعليق