Contact Form 7, probabilmente il plugin per WordPress più utilizzato, ha rilasciato una patch di sicurezza per una vulnerabilità sull’upload di file su tutte le versioni 5.3.1 e precedenti. La pagina del plug-in su WordPress.org elenca oltre 5 milioni di siti che utilizzano Contact Form 7, ma si stima che vi siano almeno 10 milioni di installazioni.
Una delle caratteristiche importanti di Contact Form 7 è la possibilità di consentire il caricamento di file come parte dell’invio di un modulo. Visto che i nomi dei file caricati vengono ripuliti durante il processo di caricamento, la revisione della patch indica che un utente malintenzionato potrebbe potenzialmente aggirare alcune delle protezioni di sanificazione dei nomi dei file su Contact Form 7 durante il caricamento aggiungendo caratteri di controllo o separatori invisibili.
Esistono però una serie di particolarità all’interno del modulo di contatto 7 che renderebbero difficile sfruttare appieno questo bypass:
Tutti i file caricati vengono temporaneamente archiviati in una cartella con un nome casuale e rimossi immediatamente dopo che il file è stato inviato al destinatario del modulo. Ciò significa che l’hacker dovrebbe essere in grado di trovare il nome della cartella generata casualmente, il che probabilmente richiederebbe l’abilitazione dell’indicizzazione della directory, e dovrà farlo prima che la directory randomizzata e il file caricato vengano rimossi.
Contact Form 7 utilizza un file .htaccess per non consentire l’accesso diretto ai file caricati che sarebbero necessari per eseguire il codice. Anche se questo funzionerebbe solo su siti che eseguono Apache, impedirebbe l’esecuzione di qualsiasi file caricato a meno che non fosse presente un’altra vulnerabilità separata da questa.
Il nome del file deve terminare con un’estensione di file accettata dal sistema. Ciò significa che solo alcune configurazioni di Apache assegnerebbero un gestore PHP a qualsiasi file caricato utilizzando una doppia estensione.
Se utilizzi Contact Form 7 senza la funzionalità di caricamento dei file, il tuo sito non è vulnerabile agli hackerche cercano di sfruttare questa vulnerabilità. Tuttavia, consigliamo comunque un aggiornamento immediato per garantire una maggiore protezione del sito.
Se hai installato Wordfence, sia la versione premium che quella gratuita, sarai protetto da questa vulnerabilità grazie al firewall integrato in questo plugin, che impedirà qualsiasi tentativo di caricare malware o di file PHP eseguibili.
La versione con la patch è stata rilasciata mercoledì 17 dicembre 2020. Se il tuo sito è uno dei tanti che utilizza Contact Form 7, ti consigliamo vivamente di aggiornare alla versione 5.3.2 il prima possibile.
Sebbene sia improbabile che questa vulnerabilità sia facilmente sfruttabile, vista la quantità di siti che utilizzano Contact Form 7, gli hacker potrebbero comunque prendere di mira questa vulnerabilità. Infatti potrebbero scoprire che sfruttare questa vulnerabilità è molto più semplice di quanto si creda.
