Atakujący próbują właśnie przejąć ~200 000 instalacji WordPress z wykorzystaniem 0daya w pluginie Ultimate Member

Szczegóły podatności dostępne są tutaj:

unpatched privilege escalation vulnerability being actively exploited in Ultimate Member, a WordPress plugin installed on over 200,000 sites

Badacze donoszą, że podatność można wykorzystać w najnowszej obecnie dostępnej wersji pluginu – 2.6.6

Wygląda na to, że twórcy próbowali załatać lukę (w wersji 2.6.6), ale udało się na tę łatkę znaleźć proste obejście. Sam plugin umożliwia zaawansowane zarządzenie użytkownikami WordPressa, udostępnia też możliwość rejestracji nowych użytkowników (poprzez formularz). Tę ostatnią funkcję wykorzystują atakujący, tworząc swojego użytkownika, a następnie (z wykorzystaniem podatności) ustawiają mu uprawnienia na Administratora. Mając Administratora atakujący mogą choćby zuploadować własny plugin (czytaj: webshell, czytaj: mają interaktywny dostęp na serwer).

Najprawdopodobniej, żeby nie zostać ofiarą, wystarczy zdezaktywować plugin, chociaż idealnie byłoby go zupełnie usunąć.

Aktualizacja: dostępna jest wersja 2.6.7 pluginu, która ma już definitywnie rozwiązać problem (czy rzeczywiście rozwiązuje? tego pewnie dowiemy się niebawem).

~ms