In questo articolo Indice dei contenuti 2 sezioni
Una falla critica in un plugin WordPress tra i più diffusi al mondo sta lasciando scoperti circa 3,25 milioni di siti, e il problema non è tanto la vulnerabilità in sé, ormai corretta, quanto il fatto che la maggior parte degli amministratori non ha ancora installato l’aggiornamento. Si parla di All-in-One WP Migration and Backup, l’estensione che serve a salvare, esportare e spostare un intero sito da un server all’altro, presente su oltre cinque milioni di installazioni. A individuare il problema è stato Jack Taylor, ricercatore indipendente di sicurezza informatica, che il mese scorso ha segnalato tutto a Wordfence nell’ambito del programma di bug bounty, sperando in un premio in denaro. Da lì la catena si è mossa in fretta: avviso all’editore, patch pronta, comunicazione pubblica. Il punto è che tra il rilascio della correzione e la sua applicazione effettiva c’è di mezzo un abisso.
Come funziona l’attacco che apre le porte del sito
Tecnicamente si tratta di una SQL injection, una tecnica vecchia quanto il web ma sempre efficace. In pratica un aggressore inserisce codice malevolo in un campo di inserimento del sito, un modulo, una barra di ricerca, un commento, e riesce a ingannare il database facendogli eseguire comandi che non dovrebbe eseguire. Nel caso specifico non serve nemmeno avere un account sul sito preso di mira. Nessun ostacolo, nessuna autenticazione: si inseriscono i dati e si aspetta.
Ed è qui che la faccenda diventa curiosa. Il codice malevolo resta dormiente. Non succede nulla, il sito continua a funzionare, nessun segnale d’allarme. I dati, spiegano i ricercatori di Wordfence, diventano pericolosi solo nel momento in cui un amministratore esporta e poi importa il sito, cioè esattamente l’operazione per cui questo plugin di backup esiste. Una routine normalissima, che però funziona da innesco.
A quel punto il codice piazzato tempo prima si sveglia e costringe il plugin a commettere un errore: pubblicare sul sito, in chiaro e accessibile a chiunque, la chiave ai1wmsecretkey. Si tratta di un codice segreto generato automaticamente da All-in-One WP Migration, una specie di password interna che serve a verificare che solo una persona autorizzata possa avviare il ripristino di un backup. Basta un visitatore qualsiasi per recuperarla. E con quella chiave in mano il controllo del sito passa di mano: installazione di estensioni malevole, inserimento di backdoor, in sostanza tutto quello che si vuole.
La patch c’è, ma pochi l’hanno installata
ServMask, la società che sviluppa il plugin, è stata avvisata rapidamente da Wordfence e ha rilasciato un aggiornamento correttivo in tempi brevi. Fin qui la storia sarebbe a lieto fine. Solo che a più di due settimane dalla pubblicazione della patch i numeri raccontano un’altra cosa: secondo le statistiche di WordPress.org, appena il 35% degli utenti del plugin ha effettivamente installato la versione aggiornata. Tradotto in cifre assolute, restano circa 3,25 milioni di siti esposti.
La raccomandazione di Wordfence è netta e prevedibile: passare senza indugio alla versione 7.110 o a una successiva. Non serve nient’altro, non ci sono configurazioni particolari da toccare, basta aggiornare. Eppure due terzi degli amministratori non l’hanno fatto, e finché la situazione resta questa la vulnerabilità critica continua a essere sfruttabile su una platea enorme di siti. Il meccanismo dell’attacco rende il tutto ancora più insidioso, perché chi gestisce un sito potrebbe già avere il codice malevolo depositato nel proprio database senza saperlo, in attesa della prossima operazione di backup e ripristino. Il danno, insomma, non arriva nel momento dell’intrusione ma molto dopo, quando l’amministratore compie in totale buona fede un’azione di manutenzione ordinaria. Chi utilizza All-in-One WP Migration and Backup e non ha ancora toccato nulla dovrebbe verificare la versione installata prima di lanciare qualsiasi esportazione.
