Уязвимость WooCommerce Wholesale Lead Capture позволяет выполнить код

Критическая уязвимость в плагине WooCommerce Wholesale Lead Capture для WordPress позволяет без авторизации загружать произвольные файлы и выполнять код. Плагин, по оценкам, установлен примерно на 6 000 сайтах. Уязвимость активно эксплуатируется, было заблокировано более 100 000 попыток атак.

Эксплуатация загрузчика файлов

Обработчик загрузки проверяет расширения файлов, но получает список разрешённых типов из данных запроса, которыми управляет злоумышленник, а не из серверной конфигурации. Злоумышленник может добавить в этот список php и загрузить исполняемый файл PHP.

Атака направлена на действие WordPress AJAX wwlc_file_upload_handler. Злоумышленники отправляют поддельный параметр file_settings вместе с вредоносным файлом с расширением .php. Среди обнаруженных полезных нагрузок был PHP-вебшелл shell.php. Он собирает сведения об узле и предоставляет браузерный интерфейс для загрузки дополнительных вредоносных файлов.

После записи в доступное из сети расположение вебшелл может использоваться для выполнения произвольных команд или развёртывания дополнительного ВПО. Успешная эксплуатация уязвимости может привести к полной компрометации затронутого сайта WordPress. Злоумышленники могут:

• создавать учётные записи администраторов;
• получать доступ к данным сайта или выводить их;
• изменять содержимое веб-сайта;
• устанавливать дополнительные бэкдоры;
• использовать сервер для последующей деятельности.

Активность и признаки атаки

Значительная активность наблюдалась с 4 по 17 июня, а также 1 июля и 30 августа. По оценке исследователей, это указывает на устойчивое целенаправленное воздействие, а не на изолированное сканирование.

Основные индикаторы эксплуатации включают запросы к действию wwlc_file_upload_handler с поддельным значением file_settings, разрешающим загрузку файлов PHP, а также последующие попытки загрузить файлы с расширением .php.

Проверка скомпрометированных сайтов

Сайты на уязвимых версиях следует рассматривать как потенциально скомпрометированные при обнаружении подобных запросов или непредвиденных файлов PHP. Администраторам необходимо проверить:

• учётные записи пользователей;
• загруженные файлы;
• журналы веб-сервера;
• механизмы закрепления.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.