Elementor Pro 및 Ultimate Add-ons for Elementor의 두 가지 인기 있는 WordPress 플러그인을 대상으로 하는 대규모 공격 캠페인이 확인되었습니다. 이러한 플러그인이 설치된 100만 개 이상의 WordPress 웹 사이트는 인기 있는 대상입니다. 제로데이 익스플로잇이 처음 밝혀진 이후로 Elementor의 플러그인 개발자와 Elementor용 Ultimate Addons는 서둘러 취약점을 패치했습니다. 두 플러그인 모두 다음과 같은 업데이트된 버전의 패치를 받았습니다.
- Elementor Pro:2.9.4
- Elementor용 Ultimate 애드온:1.24.2
아직 가지고 있지 않은 경우 이전 버전에서 이 버전으로 업데이트하십시오.
2020년 6월 6일에 업데이트됨: Elementor Page Builder 플러그인에서 또 다른 중요한 저장된 XSS 취약점이 발견되었습니다. 이 취약점으로 인해 작성자 수준의 사용자는 악성 XSS 페이로드가 있는 사용자 지정 링크를 만들고 위젯에 대한 사용자 지정 특성을 만들 수 있으며, 이는 다시 저장된 XSS 위험이 됩니다. 패치가 버전 2.9.10에서 릴리스되었습니다. . 가능한 한 빨리 이 버전으로 업데이트하십시오.
해킹에 대해 자세히 알아보기…
Elementor Pro의 취약점으로 인해 공개 등록이 있는 WP 웹사이트에서 원격 코드 실행이 허용되었습니다. 취약점은 구독자 수준 사용자에게 부여된 파일 업로드 권한에서 비롯됩니다. 가입자는 사이트에 아이콘 세트(zip 형식)를 업로드할 수 있습니다.
Elementor Pro에도 유효성 검사가 없었기 때문에 의심스러운 확장 프로그램과 콘텐츠를 업로드할 수 있었습니다. 따라서 최소 수준의 인증을 받은 해커는 이제 실행 가능한 악성 코드가 포함된 .zip 파일을 업로드할 수 있습니다. 코드가 실행되면 공격자는 무엇이든 할 수 있습니다. 셸 또는 멀웨어 업로드부터 백도어 삽입, 가짜 사용자 추가, 관리 액세스 권한 획득, 설정 수정, 전체 웹사이트 삭제까지.
Elementor Pro가 출시한 패치에서 이제 zip의 파일 내용을 확인하기 위해 다음 코드를 추가했습니다. CSS, EOT, HTML, JSON, OTF, SVG 등의 파일 형식만 업로드할 수 있도록 합니다.
그들은 승인된 사용자(관리자 및 최고 관리자의 액세스 수준)만 파일을 업로드할 수 있도록 다른 패치를 추가했습니다. 구독자 역할을 가진 사용자가 zip을 업로드하려고 하면 오류가 발생합니다.
Ultimate 애드온 플러그인에는 파일 업로드 규칙이 부족하지 않습니다. 그러나 누구나 웹사이트에 대한 구독자 수준 액세스 권한을 얻을 수 있습니다. 활성 등록 양식이 없는 경우에도.
Elementor용 Ultimate Addons의 이 취약점은 해커에게 기반을 제공하여 해커가 Elementor Pro의 보다 중요한 RCE 취약점을 악용할 수 있도록 합니다. 따라서 웹사이트가 등록 양식을 호스팅하지 않더라도 공격자는 자신을 구독자로 추가할 수 있습니다. 이는 Elementor Pro의 RCE 취약점을 악용하기 위한 최소 요구 사항입니다.
여기서 우리는 취약점이 Elementor Pro에만 있으며 Elementor 무료 버전 사용자는 공격으로부터 안전하다는 점을 언급해야 합니다.
피해 관리!
Astra 고객이라면 Astra가 이미 이러한 파일 업로드를 차단하고 있으므로 걱정할 필요가 없습니다. 다시 한 번 확인하기 위해 대시보드에 로그인하여 설정>>파일 업로드 규칙으로 이동합니다. , 토글 키가 이미 켜져 있는지 확인합니다.
추가 확장자를 차단하려는 경우 이러한 모든 악의적인 업로드 시도를 차단하는 파일 업로드 규칙을 추가할 수도 있습니다.
Elementor Pro 및 Ultimate Add-on for Elementor의 다른 모든 사용자는 패치 버전으로 업데이트하는 것이 좋습니다. 이미 언급했듯이 패치된 버전은 – 2.9.4 Elementor Pro 및 1.24.2용 Elementor용 Ultimate 애드온용
해킹을 당했다면 Astra에서 즉시 악성코드 정리(4시간 미만 소요)를 받고 웹사이트를 정상 상태로 복원할 수 있습니다.
업데이트를 확인한 후 보안 강화를 위해 이 WordPress 보안 가이드도 따라야 합니다.