Bezpečnostní tým Wordfence zveřejnil závažnou zranitelnost typu PHP Object Injection v populárním pluginu Duplicator, který slouží k zálohování, klonování a migraci WordPress webů.
Problém se nachází ve funkci DUPX_UpdateEngine::unserializeTest(), která během migrace zpracovává serializovaná data z databáze.
Útočník může připravit škodlivá data bez přihlášení do WordPressu. K samotnému spuštění útoku je však nutná následná migrace nebo import provedený administrátorem.
Možné následky
Duplicator – bezplatná verze
Plugin obsahuje knihovnu Requests 1.7, jejíž prostřednictvím lze za určitých podmínek zneužít řetězec PHP objektů (POP chain).
Úspěšné zneužití může vést ke spuštění libovolných systémových příkazů na serveru.
Duplicator Pro
Placená verze obsahuje jiný zneužitelný mechanismus, který může umožnit odstranění souborů na serveru.
Pokud útočník dokáže odstranit například wp-config.php, může za dalších podmínek dojít ke zpřístupnění instalačního průvodce WordPressu a následnému převzetí webu.
Podmínky zneužití
Zranitelnost není automaticky zneužitelná na každé instalaci Duplicatoru.
Úspěšný útok vyžaduje následující posloupnost:
- Útočník uloží škodlivá serializovaná data do obsahu webu, do kterého může zapisovat bez přihlášení.
- Administrátor následně vytvoří zálohovací balíček obsahující tato data.
- Administrátor provede migraci nebo import vytvořeného balíčku.
- Během zpracování databázových dat může dojít ke spuštění škodlivého kódu.
Zvláštní pozornost si zaslouží weby, na kterých se právě připravuje migrace nebo obnova ze zálohy.
Aktivní zneužívání v reálných útocích zatím nebylo potvrzeno.
Hodnocení závažnosti
CVSS 3.1: 8.8/10 – Vysoká 🟠
Zranitelnost může vést k úplné kompromitaci webu, její zneužití však vyžaduje konkrétní postup zahrnující činnost administrátora.
Dostupnost bezpečnostní opravy
Zranitelnost je opravena ve verzi Duplicator 5.0.0.
Výrobce sjednotil bezplatnou a placenou variantu pluginu pod společnou verzovací řadu 5.x.
Aktualizace je dostupná prostřednictvím oficiálních distribučních kanálů výrobce.
Doporučené kroky
- Doporučujeme bezodkladně aktualizovat Duplicator i Duplicator Pro minimálně na verzi 5.0.0.
- U webů, které provozovaly postižené verze, doporučujeme prověřit historii vytvořených zálohovacích balíčků.
- Před plánovanou migrací doporučujeme nejprve aktualizovat Duplicator a následně vytvořit nový instalační balíček.
- Je vhodné prověřit také starší zálohy vytvořené postiženými verzemi. Samotná aktualizace pluginu na zdrojovém webu automaticky nezabezpečí již vytvořené instalační archivy.
- Doporučujeme neobnovovat starší balíčky pomocí zranitelných instalačních skriptů.
- U webů, které v minulosti umožňovaly anonymním návštěvníkům ukládat obsah do databáze, doporučujeme věnovat zvýšenou pozornost případným podezřelým datům.
- Je vhodné prověřit neobvyklé změny souborů, zejména
wp-config.php, a případné neoprávněné administrátorské účty.
- U webů s podezřením na kompromitaci doporučujeme provést kontrolu integrity souborů a bezpečnostní analýzu instalace.
Zdroj: https://www.wordfence.com/threat-intel/vulnerabilities/detail/duplicator-1517-and-duplicator-pro-4610-unauthenticated-php-object-injection
