Scatta l’allarme per milioni di portali. Già, perché WordPress, la piattaforma software di “blog” e content management system (CMS) open source creata da Matt Mullenweg e distribuito con la licenza GNU General Public License, è semplicemente il CMS più utilizzato al mondo.
Una grave vulnerabilità. E’ stata descritta così la pericolosa falla sui plug-in scovata su WordPress durante un controllo interno, che ha scoperto un bug di download di backup arbitraria che potrebbe consentire agli utenti con privilegi bassi come gli abbonati di scaricare i backup più recenti di un sito.
Fortunatamente la vulnerabilità è stata risolta grazie all’introduzione dell’aggiornamento in UpdraftPlus 1.22.3. Tutto è bene quello che finisce bene, ma è naturale che la soglia di attenzione per milioni di siti made in WordPress, resta alta.
WordPress, il retroscena: come si è arrivati alla scoperta della vulnerabilità e come si è risolto il problema
Se sfruttata, infatti, la vulnerabilità potrebbe garantire ai cyber-criminali l’accesso a informazioni privilegiate dal database del sito interessato, come ad esempio dati sensibili come nomi utente e password con hash.
“Abbiamo segnalato la vulnerabilità agli autori del plug-in e di recente hanno rilasciato la versione 1.22.3 per risolverla – si legge su jetpack.com – anche gli aggiornamenti automatici forzati sono stati inviati a causa della gravità di questo problema. Se il tuo sito non lo ha già fatto, ti consigliamo vivamente di aggiornare all’ultima versione (1.22.3) e di avere una soluzione di sicurezza consolidata sul tuo sito, come Jetpack Security”. Ma come si è arrivati alla versione gratuita di UpdraftPlus, che diventa a pagamento nella 2.22.3?
Lo scorso 15 febbraio UpdraftPlus riceve una segnalazione di un difetto di sicurezza dal ricercatore di sicurezza Marc-Alexandre Montpas di Automattic, che durante un audit di UpdraftPlus riscontra un difetto precedentemente sconosciuto nelle versioni attuali di UpdraftPlus, che aveva un identificatore CVE riservato a CVE- 2022-23303.
Un difetto che consente a qualsiasi utente connesso su un’installazione di WordPress con UpdraftPlus attivo di esercitare il privilegio di scaricare un backup esistente, un privilegio che avrebbe dovuto essere riservato solo agli utenti amministrativi.
La soluzione arriva in primis grazie alla scoperta dopo un controllo delle autorizzazioni mancante sul codice relativo al controllo dello stato corrente del backup. “Ciò ha consentito – spiega UpdraftPlus – di ottenere un identificatore interno altrimenti sconosciuto e che potrebbe quindi essere utilizzato per superare un controllo sull’autorizzazione al download”.
I siti interessati erano a rischio di perdita, o di furto, dei dati a causa dell’accesso di un utente malintenzionato a una copia del backup del sito, soprattutto per quei portali che contengono qualcosa di non pubblico. “Dovresti aggiornare immediatamente – sentenziano da UpdraftPlus – se sei l’unico utente sul tuo sito WordPress, o se tutti i tuoi utenti sono affidabili, allora non sei vulnerabile”.
