Δύο μολυσμένες εκδόσεις του πρόσθετου Gravity Forms για WordPress διανεμήθηκαν μέσω της επίσημης σελίδας λήψης, έπειτα από επίθεση στην εφοδιαστική αλυσίδα.
Δείτε επίσης: Κρίσιμη ευπάθεια σε πρόσθετο WordPress εκθέτει πάνω από 600.000 sites
Το Gravity Forms είναι ένα εύχρηστο εργαλείο δημιουργίας φορμών για WordPress, με πάνω από 1 εκατομμύριο ενεργές εγκαταστάσεις. Προσφέρει έναν οπτικό επεξεργαστή φορμών, υποστηρίζει διαχείριση συναλλαγών και αυτοματοποίηση ροής εργασιών, ενώ παρέχει δυνατότητες εκτεταμένων παραμετροποιήσεων φορμών.
Η κακόβουλη δραστηριότητα που σχετίζεται με το Gravity Forms εντοπίστηκε στις 11 Ιουλίου, αφού η εταιρεία Patchstack έλαβε αναφορά ότι το πρόσθετο πραγματοποιούσε HTTP αίτημα προς έναν ύποπτο τομέα που είχε δημιουργηθεί στις 8 Ιουλίου.
Το πρόσθετο εντοπίστηκε να στέλνει πληροφορίες για την εγκατάσταση του WordPress και να περιέχει κακόβουλες λειτουργίες που θα μπορούσαν να κληθούν από μη εξουσιοδοτημένους χρήστες για την απομακρυσμένη εκτέλεση αυθαίρετου κώδικα στον διακομιστή.
Την ίδια ημέρα, η εταιρεία RocketGenius, δημιουργός του Gravity Forms, επιβεβαίωσε ότι κακόβουλες εκδόσεις του πρόσθετου είχαν ανέβει στην επίσημη σελίδα λήψης.
Δείτε ακόμα: Πάνω από 100.000 ιστότοποι WordPress κινδυνεύουν από πρόσθετο
Σύμφωνα με την RocketGenius, μόνο οι εκδόσεις 2.9.11.1 και 2.9.12 του Gravity Forms που ήταν διαθέσιμες μέσω της σελίδας λήψης στις 9 και 10 Ιουλίου ήταν μολυσμένες. Ωστόσο, και οι χρήστες που εκτέλεσαν εγκατάσταση μέσω composer και εγκατέστησαν την έκδοση 2.9.11.1 κατά το ίδιο χρονικό διάστημα, εκτέλεσαν επίσης την κακόβουλη παραλλαγή.
Όπως σημειώνει ο προγραμματιστής, τα πακέτα που λήφθηκαν μέσω του αυτόματου μηχανισμού ενημέρωσης δεν ήταν κακόβουλα, ούτε επηρεάστηκε η υπηρεσία Gravity API, η οποία διαχειρίζεται αυτόματες ενημερώσεις, άδειες χρήσης και εγκαταστάσεις.
Ο κακόβουλος κώδικας στις μολυσμένες εκδόσεις του πρόσθετου, σύμφωνα με την RocketGenius, είχε σχεδιαστεί ώστε να δημιουργεί λογαριασμό διαχειριστή στον ιστότοπο WordPress, ανοίγοντας έτσι ένα “backdoor” και επιτρέποντας στους επιτιθέμενους απομακρυσμένη πρόσβαση στην εγκατάσταση, εκτέλεση κώδικα, τροποποίηση λογαριασμών και κλοπή δεδομένων.
Η έκδοση 2.9.13 του πρόσθετου κυκλοφόρησε στις 11 Ιουλίου για να αφαιρέσει τον κακόβουλο κώδικα και οι χρήστες καλούνται να την εγκαταστήσουν το συντομότερο δυνατό, ειδικά εάν κατέβασαν χειροκίνητα μολυσμένη έκδοση στις 9 ή 10 Ιουλίου.
Δείτε επίσης: WordPress ‘Motors’ theme: Ευάλωτο σε κρίσιμη ευπάθεια
Το περιστατικό αυτό είναι υπενθύμιση ότι ακόμα και δημοφιλή και αξιόπιστα πρόσθετα δεν είναι απρόσβλητα από επιθέσεις και ότι η ασφάλεια στο WordPress απαιτεί συνεχώς ενεργή διαχείριση και προσοχή.
Πηγή: securityweek
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
