WordPress: update forzato per bug critico

WordPress: update forzato per bug critico

A causa di un bug che permette di accedere ai backup del sito è stata forzata l'installazione dell'aggiornamento del plugin UpdraftPlus per WordPress.
A causa di un bug che permette di accedere ai backup del sito è stata forzata l'installazione dell'aggiornamento del plugin UpdraftPlus per WordPress.

Oltre tre milioni di siti basati su WordPress hanno ricevuto un aggiornamento forzato per risolvere una vulnerabilità critica presente nel plugin UpdraftPlus. Sfruttando il bug, scoperto dal ricercatore Marc Montpas di Automattic, un malintenzionato potrebbe accedere ai backup senza privilegi di amministratore. Le versioni più recenti sono 1.22.4 (free) e 2.22.4 (premium).

Update forzato per il plugin UpdraftPlus

Il plugin UpdraftPlus semplifica la procedura di backup e successivo ripristino dei database. Consente di programmare la creazione dei backup che possono essere caricati su vari servizi di cloud storage, tra cui Dropbox e Google Drive. Montpas ha contattato lo sviluppatore il 14 febbraio e due giorni dopo è stata forzata l’installazione della nuova versione, considerata la gravità del problema di sicurezza.

Analizzando il codice, il ricercatore ha scoperto che il plugin non verificava se l’utente aveva i privilegi di amministratore. Pertanto chiunque (con le competenze tecniche adeguate) poteva effettuare il download dei backup, sfruttando la funzionalità che permette di inviare una copia via email. I backup contengono numerosi dati sensibili, tra cui password hashed, username e indirizzi IP. Fortunatamente, al momento, non sono noti exploit attivi.

Gli utenti che usano la versione premium di UpdraftPlus corrono meno rischi perché i dati presenti nel backup sono cifrati. È raro che venga forzata l’installazione di un aggiornamento, ma in questo caso era necessario. Se non sono state scaricate le ultime versioni del plugin (1.22.4 e 2.22.4) è consigliato fortemente il download manuale.

Fonte: ArsTechnica
Link copiato negli appunti

Ti potrebbe interessare

Pubblicato il 22 feb 2022
Link copiato negli appunti