Una falla zero-day in un plugin di WordPress chiamato BackupBuddy viene attivamente sfruttata, ha rivelato la società di sicurezza WordPress Wordfence.
“Questa vulnerabilità consente agli utenti non autorizzati di scaricare file arbitrari dal sito interessato, che possono includere informazioni sensibili”, ha dichiarato.
BackupBuddy consente agli utenti di eseguire il backup dell’intera installazione di WordPress dall’interno della dashboard, compresi i file del tema, le pagine, i post, i widget, gli utenti e i file multimediali, tra gli altri.
Si stima che il plugin abbia circa 140.000 installazioni attive e che la falla (CVE-2022-31474, punteggio CVSS: 7.5) riguardi le versioni da 8.5.8.0 a 8.7.4.1. È stata risolta nella versione 8.7.5 rilasciata il 2 settembre 2022.
Il problema è radicato nella funzione chiamata “Local Directory Copy”, progettata per memorizzare una copia locale dei backup. Secondo Wordfence, la vulnerabilità è il risultato di un’implementazione non sicura, che consente a un attore non autenticato di scaricare qualsiasi file arbitrario sul server.
Plugin WordPress BackupBuddy
“Questa vulnerabilità potrebbe consentire a un utente malintenzionato di visualizzare il contenuto di qualsiasi file sul vostro server che possa essere letto dalla vostra installazione di WordPress”, ha dichiarato lo sviluppatore del plugin, iThemes. “Questo potrebbe includere il file wp-config.php di WordPress e, a seconda della configurazione del server, file sensibili come /etc/passwd”.
Wordfence ha rilevato che l’obiettivo di CVE-2022-31474 è iniziato il 26 agosto 2022 e che ha bloccato quasi cinque milioni di attacchi nel periodo di tempo intercorso. La maggior parte delle intrusioni ha tentato di leggere i seguenti file
/etc/passwd
/wp-config.php
.my.cnf
.accesshash
Si consiglia agli utenti del plugin BackupBuddy di aggiornare alla versione più recente. Se gli utenti dovessero scoprire di essere stati compromessi, si consiglia di reimpostare la password del database, cambiare i sali di WordPress e ruotare le chiavi API memorizzate in wp-config.php.