WordPress: occhio al plug-in "vulnerabile"

UpdraftPlus, uno dei plugin di WordPress più utilizzati per la creazione di backup, sarebbe affetto da una vulnerabilità che potenzialmente potrebbe mettere a rischio numerosi installazione del CMS.

Si tratta di un'estensione pensata per semplificare le procedure che permettono di generare copie di sicurezza e di ripristinare un'istanza di WordPress e tutti i dati ad essa associati, permettendo di effettuare i backup direttamente sul Cloud (AWS, Google Drive, Dropbox, Azure..) e limitando il carico di lavoro a danno del server.

La vulnerabilità di UpdraftPlus

La vulnerabilità citata in precedenza sarebbe sta individuata nel sistema che permette di inviare il link ad un backup via email. UpdraftPlus, disponibile sia gratuitamente che in versione premium con funzionalità aggiuntive, conterebbe ad oggi oltre 3 milioni di istallazioni, un dato che fornisce la misura di quanto tale problematica potrebbe essere diffusa.

A livello pratico il rischio deriverebbe dal fatto che praticamente chiunque, compressi gli utenti con livelli di accesso poco elevati come i sottoscrittori, avrebbero la possibilità di creare un link valido al backup. Questo significa che una copia di sicurezza potrebbe finire facilmente nelle mani di utenti malintenzionati.

La meccanica dell'attacco

Stando a quanto riportato dagli esperti di sicurezza di Wordfence, il bug del plugin permetterebbe di accedere senza competenze tecniche particolarmente avanzate ai dati di un utilizzatore di UpdraftPlus come per esempio password e altre informazioni utili all'identificazione. Per far questo sarebbe sufficiente inviare una richiesta contenente un parametro data[updraftplus] facendo riferimento al controllo:

UpdraftPlus_Options::admin_page() === $pagenow

Disponendo di un account attivo quest'ultimo può essere alterato indirizzando il controllo verso la pagina options-general.php mentre WordPress continua a considerare la richiesta con endpoint di admin-post.php.

Come difendersi

E consigliabile procedere quanto prima ad un aggiornamento della propria installazione di UpdraftPlus alla prima versione patchata disponibile, quindi dalla release 1.22.3 in poi, nel caso in cui per qualsiasi motivo non si possa effettuare l'upgrade nell'immediato è possibile limitare le conseguenze delle vulnerabilità creando una regola temporanea a livello di firewall.