تطلب 1.7 مليون موقع WordPress تحديثًا أمنيًا بسبب ضعف خطير في وردبرس
تأثر WordPress بنقاط الضعف التي تم تحديدها في بعض مكوناته الإضافية ، والتي يمكن أن تعرض أمن مواقع الويب التي أنشأها النظام الأساسي للخطر. في كانون الثاني (يناير) ، تم تحديد ثغرة أمنية في المكون الإضافي Essential Addons for Elementor ، وهي ميزة يستخدمها أكثر من مليون موقع ويب. تم اكتشاف المشكلة بواسطة محقق PatchStack ، ولكن تم إصلاحها منذ ذلك الحين..
الآن كان هو المكون الإضافي UpdraftPlus ، المستخدم لإنشاء واستعادة النسخ الاحتياطية لموقع الويب. سمحت المشكلة التي تم العثور عليها ، والتي تم إصلاحها بالفعل من خلال تحديث أمني طارئ ، لجميع المستخدمين الذين لديهم حساب على موقع ويب بتنزيل قاعدة البيانات بالكامل.
تم اكتشاف الخطأ بواسطة الباحث الأمني Marc Montpas من Jetpack أثناء مراجعة البرنامج المساعد. في حديثه إلى Ars Technica ، ذكر المحقق أن الخطأ كان من السهل جدًا استغلاله ، مع نتائج كارثية إذا تم استخدامه. "سمح ذلك للمستخدمين الذين لديهم امتيازات أساسية بتنزيل النسخ الاحتياطية من موقع ويب ، بما في ذلك قواعد البيانات الأولية.
تم تنبيه مطوري UpdraftPlus إلى الخطأ ، وتم إصلاحه في اليوم التالي ، مما أجبر جميع مواقع الويب التي تستخدم هذا المكون الإضافي على إجراء تحديث طارئ. إجمالاً ، تم تحديث 1.7 مليون موقع ، من حوالي 3 ملايين مستخدم.
في مدونة Jetpack ، تم توضيح أن الثغرة الأمنية كانت بسبب التنفيذ غير الصحيح لميزة WordPress “hearbeat” ، والتي تضمن التحقق من امتيازات المستخدم. في هذه الحالة ، لم تتحقق مما إذا كان الوصول تم بواسطة مسؤولي الموقع. يمكن للمتسلل الوصول بسهولة إلى المعلومات من النسخ الاحتياطية لموقع الويب من خلال الثغرة الأمنية.
لتأكيد أن لديك الإصدار الآمن من المكون الإضافي UpdraftPlus ، يجب على مسؤولي مواقع الويب المستندة إلى WordPress التحقق من تحديثه إلى الإصدار 1.22.
تحديث البرنامج المساعد لـ WordPress Forced UpdraftPlus على ملايين المواقع الإلكترونية
في خطوة غير مسبوقة وخطيرة ، فرض WordPress تحديث المكون الإضافي UpdraftPlus على ملايين مواقع الويب ، والآن هناك خلل.
اتخذ WordPress الخطوة النادرة المتمثلة في إجبار المكون الإضافي UpdraftPlus على التحديث على جميع مواقع الويب لإصلاح ثغرة أمنية شديدة الخطورة ، مما يسمح لمشتركي موقع الويب بتنزيل أحدث النسخ الاحتياطية لقاعدة البيانات ، والتي غالبًا ما تحتوي على بيانات اعتماد و PII.
تستخدم ثلاثة ملايين موقع ويب مكون WordPress الإضافي الشهير ، لذلك كانت إمكانية الاستغلال كبيرة ، مما أثر على جزء كبير من الإنترنت ، بما في ذلك المنصات الرئيسية.
تؤثر الثغرة الأمنية على إصدارات UpdraftPlus 1.16.7 حتى 1.22.2 ، وقام المطورون بتصحيحها بإصدار 1.22.3 أو 2.22.3 للإصدار Premium (المدفوع).
تم اكتشاف الخلل بواسطة الباحث الأمني Marc Montpas من Automattic وتم تتبعه باعتباره CVE-2022-0633 ويحمل درجة CVSS v3.1 البالغة 8.5.
يساعد UpdraftPlus في تبسيط عملية النسخ الاحتياطي والاستعادة من خلال وظائف النسخ الاحتياطي المجدولة وخيار التنزيل التلقائي إلى عنوان بريد إلكتروني موثوق به.
ومع ذلك ، نظرًا لوجود أخطاء في المكون الإضافي ، يمكن لأي مستخدم مصادق عليه منخفض المستوى إنشاء رابط صالح يسمح لهم بتنزيل الملفات.
WordPress Forced UpdraftPlus
تم اكتشاف الخلل في 14 فبراير 2022 وتم إخطار UpdraftPlus على الفور ، بينما اتبعت التفاصيل الفنية في اليوم التالي.
كانت استجابة مطوري المكون الإضافي الشهير فورية تقريبًا ، وفي 16 فبراير 2022 ، بدأ WordPress في تحديث التثبيتات إلى الإصدار 1.22.3.
تكمن المشكلة في التحقق غير الصحيح من صحة المستخدم لما إذا كان لديه الامتيازات اللازمة للوصول إلى المعرف غير المتاح والطوابع الزمنية للنسخة الاحتياطية أم لا.
يبدأ الهجوم بإرسال طلب نبضات يحتوي على معلمة "بيانات" للحصول على معلومات حول أحدث نسخة احتياطية.
مسلحًا بهذه المعلومات ، يقوم المهاجم بتشغيل وظيفة "إرسال نسخة احتياطية عبر البريد الإلكتروني" بعد معالجة طلب نقطة النهاية.
عادةً ما يقتصر هذا الدور على المسؤولين فقط ، ولكن يمكن لأي شخص لديه حساب على الموقع المستهدف الوصول إليه دون قيود نظرًا لعدم وجود فحص للإذن.
بالطبع ، يحتاج المهاجم إلى معرفة كيفية تنزيل النسخ الاحتياطية لقاعدة البيانات ، وفي الوقت الحالي ، يفيد Updraft بأنه لم ير مثل هذه الحالات في البرية.
"في الوقت الحالي ، يعود (مظهر PoC) إلى المتسلل لإجراء هندسة عكسية للتغييرات في أحدث إصدار من UpdraftPlus لحل هذه المشكلة." - أوبدرافت .
كما هو مذكور في تقرير Automattic ، كانت بعض عمليات التحقق غير المباشرة لا تزال موجودة في الإصدارات الضعيفة من المكون الإضافي ، لكنها ليست كافية لإيقاف مهاجم ماهر.
وفقًا لإحصائيات تنزيل WordPress لهذا المكون الإضافي ، تم تحديث 783000 عملية تثبيت في اليوم السادس عشر وتم تحديث 1.7 مليون إضافية في اليوم السابع عشر.
أخبر مونتباس Bleeping Computer أن هذه واحدة من تلك الحالات النادرة جدًا والخطيرة بشكل استثنائي حيث يفرض WordPress تحديثات تلقائية على جميع المواقع ، بغض النظر عن إعدادات المسؤول الخاصة بها.
إذا كنت تريد الترقية على الفور إلى الإصدار الآمن ، فيمكنك تطبيق التحديث الأمني يدويًا من لوحة المعلومات. أحدث إصدار متاح اليوم هو 1.22.4 ، لذلك هذا هو الإصدار الموصى به للاستخدام.
لاحظ أن هذه الثغرة الأمنية لا تشكل أي خطر على مواقع الويب التي لا تدعم عمليات تسجيل دخول المستخدم من أي نوع أو لا تحتفظ بأي نسخ احتياطية.
كلمات مفتاحية :
wordpress updraftplus
wordpress plugin updraftplus
wordpress seite migrieren
wordpress automatisch aktualisieren
security-صور
صور-security
مليون-صور
صور-security
security-security
security-صور