ثغرة أمنية في إضافة UpdraftPlus

ثغرة أمنية في إضافة UpdraftPlus

شاهد في المقالة

مقدمة عامة

✒️ ثغرة أمنية في إضافة UpdraftPlus تسمح للمستخدمين بتحميل ملفات موقعك الحساسة.
في 17 فبراير 2022، تم تحديث UpdraftPlus وهي إضافة خاصة بـ WordPress وتخدم أكثر من 3 ملايين موقع إلكتروني، بإصلاح أمني لثغرة اكتشفها الباحث الأمني ​​”مارك مونباس”.

مدى تأثير الثغرة

⚠️ تسمح هذه الثغرة الأمنية لأي مستخدم قام بتسجيل الدخول لموقعك، بما في ذلك المستخدمين على مستوى المشتركين، بتنزيل نسخ احتياطية تم إنشاؤها باستخدام الإضافة، وهذا الأمر قطعًا كارثي إذ يحتوي النسخة الاحتياطية مثلًا على ملف wp-config ومعلومات الاتصال بقاعدة البيانات كاملة وغيرها من الملفات الهامة، متخيلين حجم الكارثة!
🛡️ قام فريق Wordfence Threat Intelligence بفحص التصحيح وبالإضافة إلى ذلك تم إصدار قاعدة جدار الحماية لمنع أي مهاجمين يحاولون استغلال هذه الثغرة الأمنية. تلقى عملاء Wordfence Premium وCare وResponse هذه القاعدة بتاريخ 17 فبراير 2022،
👈🏻 بينما سيتلقى مستخدمو Wordfence Free هذه القاعدة بعد 30 يومًا في 19 مارس 2022.

تفاصيل الثغرة

تم تصحيح هذه الثغرة الأمنية في:
✅ الإصدار 1.22.3 من UpdraftPlus، ولذلك أنصحك وبشدة بتشغيل أحدث إصدار من الإضافة المذكورة.
لنتحدث كيف للمشترك أو من قام بتسجيل الدخول لموقعك بتحميل نسخة احتياطية؟
كانت إحدى الميزات الخاصة بالإضافة القدرة على إرسال روابط تنزيل النسخ الاحتياطية إلى بريد إلكتروني يختاره مالك الموقع. لسوء الحظ، تم تنفيذ هذه الوظيفة بشكل غير آمن مما جعل من الممكن للمستخدمين المصادق عليهم من المستوى المنخفض مثل: المشتركين إنشاء رابط يسمح لهم بتنزيل ملفات النسخ الاحتياطي على الأجهزة الخاصة بهم.
 
▪️ يبدأ الهجوم بوظيفة heartbeat في WordPress. يحتاج المهاجم إلى إرسال طلب نبضات معد خصيصًا يحتوي على data[updraftplus] paramete. يكون المهاجم قادرًا على الحصول على سجل نسخ احتياطي يحتوي على نسخة احتياطية وطابع زمني احتياطي في أي وقت يمكنهم استخدامه لتنزيل نسخة احتياطية.
 
بمجرد أن يحصل المهاجم على نسخة احتياطية احتياطية، يمكنه تشغيل وظيفة might_download_backup_from_email.
» ولكي لا تطول المقالة سأترك تفاصيل الثغرة باستفاضة بالملف الشخصي أول تعليق.
من المحتمل أن تكون عواقب الهجوم الناجح خطيرة، حيث يمكن أن تشمل:
⚠️ كلمات مرور مسربة.
⚠️ معلومات تحديد الهوية الشخصية.
⚠️ في بعض الحالات الاستيلاء على الموقع إذا كان المهاجم قادرًا على الحصول على بيانات اعتماد قاعدة البيانات من ملف التكوين والوصول بنجاح إلى قاعدة بيانات الموقع.

توصية تجهيز

نحث جميع المستخدمين الذين يقومون باستخدام إضافة UpdraftPlus على التحديث إلى أحدث إصدار وقت كتابة هذه المقالة، وهو الإصدار 1.22.3 كما ذكرنا بالأعلى في أقرب وقت ممكن.

ليه أطلب من تجهيز

تعتمد الشركات على مبدأ الدعاية والتسويق فتقوم بإبراز بعض الخدمات للعميل لقاء أثمان زهيدة وإخفاء الخدمات الأصلية الهامة عنه، بحيث أنه سيحتاجها لا محالة فحينها يتوجب عليه الدفع لقاء هذه الخدمات.. ما يرفع من سعر الاستضافة بشكل مهيب.. ولا يخفى عن عميلي أن خدمات كالحماية والصيانة والتحديثات لا غنى عنهم بعد إنتهاء المشروع وبهذه الخدمات يستمر الموقع باستقرار وأمان.. هذه الخدمات تحديدًا هي مجرد كلمات تكتب في باقات الشركات للعميل ولا تنفذ مطلقًا وتكون بقيمة إضافية.. أما في تجهيز.. فصيانة موقعك وحمايته وتحديثه طوال مكوثك في الاستضافة مجانًا دون أي مقابل ولا أي أسعار خفية.

أعلن واربح مع تجهيز

نحن في تجهيز نحب أن يستفيد الجميع.. لذا قررنا أن كل عملية حجز عن طريق أي معلن له نسبة معلومة مسبقًا ومحددة في باقات استضافاتنا بالموقع وتترواح بقيم مختلفة تصل إلى 300 دولار للحجز الواحد وهي أعلى قيمة موجودة بين كافة شركات الاستضافات.. تصفح باقات تجهيز الخاصة بالاستضافات فائقة السرعة.

أحتاج استضافة

يمكنك التواصل مباشرة عبر: 6128 1088 2010+ | أو من خلال البريد الخاص بنا: contact@tghez.com أو من خلال التواصل المباشر مع مدير الموقع: المهندس أحمد أسامة عبر: 6128 4366 2011+

شارك المقالة عبر

فيسبوك
غرد
تليجرام
البريد
لينكدإن
واتساب

مقالات ذات صلة

عن الكاتب

مدير موقع تجهيز
مدير موقع تجهيز
تجهيز كافة خدمات البرمجيات الخاصة بتصميم وتطوير وحماية المواقع الإلكترونية وتوزيع الاستضافات بمختلف الأحجام والأنواع وخدمات التصميم وإنشاء الهويات التجارية للمؤسسات والأفراد

شاركنا رأيك

اترك تعليقاً

لن يتم نشر عنوان بريدك الإلكتروني. الحقول الإلزامية مشار إليها بـ *

جميع الحقوق محفوظة© 2022 - موقع تجهيز

You cannot copy content of this page

انتقل إلى أعلى